silk monitoring

[elham-sh]

[احمد حقیقی]

یا می‌تونه به خاطر نبود داده باشه، مثلا اینترفیسی که برای yaf تعیین کردین تا بهش گوش بده و نت فلو تولید کنه، روش ترافیکی نیست، که برای این مورد می‌تونید فعلا چون داریم تست می‌گیریم، اینترفیس رو توی تنظیمات yaf به any تغییر بدید.

مورد بعدی اینکه پیش فرض silk میاد و زمان رو UTC میگیره، اگر سیستم شما زمانش محلی باشه (که معمولا هست) باید زمان کامپایل کردن silk، موقع کانفیگ کردن براش تعریف کنید تا زمان محلی رو لحاظ کنه و بعد مجدد کامپایلش کنید.
فعلا دستور زیر رو اجرا کنید:

کد: [انتخاب]

rwfilter --start-date=2016/02/19:00 --end-date=2018/02/19:23 --type=all --proto=0- --pass=stdout | rwcut

[elham-sh]

کد: [انتخاب]

root@shayan:~# rwfilter --start-date=2016/02/19:00 --end-date=2018/02/19:23 --type=all --proto=0- --pass=stdout | rwcut
                                    sIP|                                    dIP|sPort|dPort|pro|   packets|     bytes|   flags|                  sTime| duration|                  eTime|sen|
root@shayan:~#

[احمد حقیقی]

مطمئن هستید که روی سیستم شما ترافیکی رد و بدل میشه؟
چند تا اتصال tcp ایجاد کنید، چند وب سایت باز کنید و مقداری با سیستم کار کنید

خروجی دستور زیر رو بذارید، ببینید اصلا silk تونسته داده‌ای جمع کنه یا نه (چون داده‌های مربوط به فلو‌ها رو تو مسیر /data میریزه)

کد: [انتخاب]

du -lh /data/
اگر تو دایرکتوری‌ها چیزی نبود، سعی کنید مقداری با سیستم تو شیکه کار کنید تا yaf بتونه نت فلو تولید کنه

اگر سیستم درست کار کنه، باید خروجی دستور فوق چیزی مثل این باشه: (حالا با حجم‌های متفاوت)

کد: [انتخاب]

.
.
.
4.3M /data/inweb/2017/05
9.5M /data/inweb/2017/07/02
11M /data/inweb/2017/07/04
11M /data/inweb/2017/07/03
6.0M /data/inweb/2017/07/06
11M /data/inweb/2017/07/05
3.5M /data/inweb/2017/07/07
6.2M /data/inweb/2017/07/01
57M /data/inweb/2017/07
222M /data/inweb/2017
222M /data/inweb
13G /data/

[elham-sh]

بله همینطوره :

کد: [انتخاب]

root@shayan:~# du -lh /data/
32K /data/in/2017/07/07
12K /data/in/2017/07/05
48K /data/in/2017/07
52K /data/in/2017
56K /data/in
36K /data/ext2ext/2017/07/06
180K /data/ext2ext/2017/07/07
96K /data/ext2ext/2017/07/02
2.7M /data/ext2ext/2017/07/05
3.0M /data/ext2ext/2017/07
3.0M /data/ext2ext/2017
3.1M /data/ext2ext
24K /data/out/2017/07/07
12K /data/out/2017/07/05
40K /data/out/2017/07
44K /data/out/2017
48K /data/out
3.2M /data/


[احمد حقیقی]

پس مشکل از داده نیست و درست کار میکنن
خروجی دستور زیر رو بررسی کنید

کد: [انتخاب]

rwcount --versionاگر عبارت

کد: [انتخاب]

   * Timezone support:                 UTCرو دیدین، بسته رو مجدد کامپایل کنین، منتهی اینبار موقع configure کردن، آپشن enable-localtime رو هم اضافه کنید.
اگر طبق لینکی که دادم بخوام بگم، میشه این:

کد: [انتخاب]

./configure --with-libfixbuf=/usr/local/lib/pkgconfig --enable-ipv6 --enable-localtimeبعدشم make  و make install

بعد مجدد خروجی دستور اولی رو بررسی کنید و اگر UTC به local تغییر پیدا کرده بود، مشکل منطقه زمانی حل شده
خروجی مورد انتظار:

کد: [انتخاب]

   * Timezone support:                 local
قبل از اجرای make install سرویس رو متوقف کنید و پس از اتمام کار راه اندازی کنید.

بعد با سیستم کار کنید (کار تحت شبکه)، و بعد از مدتی مجدد خروجی دستور rwfilter رو بررسی کنید

[elham-sh]

مشکل حل شد یک دنیا تشکر ... بسیار عالی بودین

[احمد حقیقی]

خواهش
موفق باشید
(سوال رو هم لطفا ببندید:) )