centos7使用ntopng進行流量監控和分析

BluePROT發表於2020-11-30
CentOS

真正的SDN我覺得目前我是中道崩殂了，有一說一，旁路監聽是真的好。

安裝

一些基礎依賴

安裝一些必備的

yum install -y GeoIP-devel
yum install -y libpcap-devel glib2-devel libxml2-devel
yum install -y autoconf automake libtool libtoolize autoreconf
yum install -y sqlite-devel
yum install  -y libcurl*
yum -y install mysql++-devel.x86_64 mysql-devel.x86_64  mysql-embedded-devel.x86_64  mysql-proxy-devel.x86_64    soci-mysql-devel.x86_64  libodb-mysql-devel.x86_64

redis

安裝redis並啟動

yum install redis
systemctl enable redis
systemctl start redis

ntopng

下載ntopng-2.4-stable.tar.gz
github好像也有
解壓tar -zxvf ntop-2.4-stable.tar.gz
執行以下命令安裝

./autogen.sh
./configure
make

make的時候報錯了，題是unable to find a working g++…，估計是沒編譯器，安裝一下yum install gcc gcc-c++，重新make。
make完成以後，執行make install安裝。

使用

執行ntopng就可以執行程式了，可以看到它會有一些輸出，然後可以看到我沒有指定網路卡的時候，他預設監聽我所有的網路卡。
訪問192.168.1.104:3000，admin和admin登陸以後，可以看到詳細資訊了，interface切換到物理網路卡eno16777736就可以看到一些內容了。

栗子

檢視我的這個例項的網橋，我去ping它的浮動IP，可以看到，他可以監聽到我的資料包誒
在這裡插入圖片描述
在這裡插入圖片描述

解析資料包

至於如何自行分析資料包，目前還沒找到netopng提供什麼埠，我也不會去redis裡找。但是在介面設定裡有一項是把資料包dump出來，可以儲存成檔案，這正好，就有兩種實現方式了

  • 直接讀取檔案，但是檔案好像是臨時檔案，重啟就沒了
  • 定時讀取檔案內容，儲存到我自己的資料庫中，然後就可以照搬我之前的資料庫建庫。

匯出的資料包格式是pcap格式，沒法直接看，軟體好像還必須wireshark使用。然後我找到python的scapy就可以直接讀取內容，還非常簡單，那就用這個了。
大致如下所示，其中s就是每一個資料包的具體資訊

import scapy
from scapy.all import*
from scapy.utils import PcapReader
Packets=rdpcap('/var/tmp/ntopng /13/pcap/2020/11/30/01/1606669200_1.pcap')
for TempPacket in Packets :
	if 'ICMP ' in TempPacket :
		s=repr( TempPacket)
		print(s)

比如，我剛才png的資料包就是這樣，基本資訊都有，直接獲取處理就行了。

<Ether dst=fa:16:3e:0d: da:03 src=fa:16:3e:90:30:8f type=IPv4 |<IPversion=4 ihl=5 tos=0x0 len=84 id=30213 flags= frag=0 ttl=64 proto=icmp chksum=0x384d src=10.0.0.71 dst=192.168.1.104|<ICMP type=echo-reply code=0 chksum=0xb6f5 id=0x8e51 seq=0x7 |<Raw load='I\xde\xc3_\x00\x00\x00\x00\xe9\xa0\x05\x00\x00\x00\x00\x00\x10\x11\x12\x13\x14\x15\x16\x17\x18\x19\xla\x1b\x1c\xld\xle\xlf ! "#$%&\ '()*+,-./01234567'|>>>>

參考連結

ntopng網路流量實時監控 - 金翅大鵬吃唐僧
輕巧的網路流量實時監控工具NTOPNG - weixin_33873846
openstack虛機流量監控demo -forsakening
[網路流量監控工具與分析Ntop和Ntopng - weixin_33782386(https://blog.csdn.net/weixin_33782386/article/details/92860125)
利用Python庫Scapy解析pcap檔案的方法 - BabyKylin

相關文章