Netflows

Auf dem zentralen Gateway wurden mit fprobe für jedes VLAN Informationen über jede IP-Verbindung gesammelt.

Diese Daten wurden mit flow-capture regelmäßig (alle 240 Sekunden) von den Probes eingesammelt und in einem Binärformat gespeichert. flow-capture rotiert diese Binär-Daten regelmäßig und ruft ein Skript auf, das die Daten weiterverarbeitet und über flow-export in eine MySQL-Datenbank speichert.

Mit einem weiteren Skript wurden aus den Daten aus der Datenbank die folgenden Grafiken erzeugt.

Traffic nach Port


Traffic nach IP-Protokoll


Anzahl Flows pro Sekunde

Insgesamt befanden sich am Ende des Chemnitzer Linux-Tags 2004 ca 400,3 MB Flow-Daten in der Datenbank.

Auswertung

Sobald die Daten einmal in der Datenbank stecken, lassen sie sich leicht weiterverarbeiten. Im folgenden ein paar absolute Zahlen, die wir interessant fanden:

Beschreibung	SQL-Query	Resultat
Anzahl Flows	SELECT count(*) FROM flows	2.811.575
Traffic insgesamt	SELECT sum(doctets) FROM flows	464.839.232.904
Anzahl Packete	SELECT sum(dpkts) FROM flows	469.493.032
Traffic TCP	SELECT sum(doctets) from flows WHERE prot=6	463.658.549.760
Traffic UDP	SELECT sum(doctets) from flows WHERE prot=17	1.041.522.951