Generowanie Netflow z Windows

[ArturB]

Typowym zastosowaniem analizatora Scrutinizer jest uruchomienie go we współpracy z zarządzalnymi routerami Cisco oraz switchami. Czasami jednak z różnych przyczyn chcemy zaobserwować ruch pochodzący z pojedynczej stacji. Takim przykładem jest konieczność analizy ruchu sieciowego serwerów kolokowanych w obcej infrastrukturze, gdzie nie mamy dostępu do urządzeń sieciowych.

Zajmijmy się monitoringiem ruchu sieciowego z typowego serwera Windows. ( Unixy i Linuxy zadziałają na tej samej zasadzie )

To co jest nam potrzebne, to program generujący nam informacje netflow na bazie analizy lokalnych portów sieciowych Windowsa. Do tego celu użyjemy popularnego projektu nProbe.
http://www.ntop.org/products/nprobe/

Nprobe jest projektem darmowym, rozpowszechnianym na licencji GPL, jednak za funkcjonalną wersję dla Windows musimy kilka euro zapłacić. Na szczęście na nasze potrzeby możemy wykorzystać wersję demo.

Zainstalowany nProbe jeszcze nie wykonuje dla nas żadnej pracy. Konfigurację przeprowadzimy z poziomu linii poleceń.

Komenda

KOD: ZAZNACZ CAŁY

Code:

nprobe /c -h

wyświetla nam opis wykorzystania.

Warto wyświetlić sobie pomoc, ponieważ musimy zanotować numer interfejsu z którego chcemy raportować ruch. Jest to sekcja mniej więcej wyglądająca tak:



W moim przypadku interesuje mnie interfejs numer 6.
Komenda :

KOD: ZAZNACZ CAŁY

Code:

nprobe /i nprobe_service --collector 10.4.4.115:2055 --interface 6 --flow-version 5 --lifetime-timeout 60 --idle-timeout 15

utworzy dla nas serwis w konfiguracji windowsa, który będzie odpowiedzialny za generowanie informacji na potrzeby Scrutinizera.



Najważniejsze opcje:
/i nprobe_service - instalacja serwisu o nazwie nprobe_service
--collector - adres maszyny z aplikacją Scrutinizer
--interface - numer interfejsu sieciowego windowsa do raportowania

W wyniku naszej pracy Scrutinizer zgłosi nam nowy interfejs jako Netflow Exporter



a stąd już tylko krok do generowania interesujących nas statystyk z nowego źródła danych.



Na koniec, skoro pokazałem jak założyć serwis, to jeszcze zobaczmy jak po sobie posprzątać. Kasowanie serwisu:

KOD: ZAZNACZ CAŁY

Code:

nprobe /r nprobe_service

Pełna dokumentacja nProbe
http://www.nmon.net/UsersGuide.pdf