fprobe + flow-capture 使用方式

在沒有高級的 cisco 時,該如何做 netflow 流量統計呢? fprobe 會是你的好選擇…

FreeBSD 安裝路徑在 /usr/ports/net-mgmt/fprobe/ 不需要用什麼特殊參數… 裝完之後，假設你接 switch mirror port 的網卡是 bge0 則 /usr/local/sbin/fprobe -i bge0 127.0.0.1:9991

可以丟給本機 127.0.0.1 也可以丟到遠端的主機去.. 這樣就會產生 netflow 的資料了.. 再利用 flow-capture 來接收資料

/usr/local/bin/flow-capture -z 6 -n 143 -e 8928 -V 5 -w /home/netflow 127.0.0.1/127.0.0.1/9991

-z 壓縮比例 0-9 -n 一天產生幾份 netflow 檔案. 143 為每10分鐘一份 預設為 95 份 15min/per -e 總共保留幾份 8928 是一個月 -V 板本.. -w 儲存資料夾

最後 localip/remoteip/port

接收端/發送端/連接埠

最後我通常會將這二個丟到 crontab 去..讓主機一開機便執行

@reboot (/usr/local/sbin/fprobe -i bge0 127.0.0.1:9991 ; /usr/local/bin/flow-capture -z 6 -n 143 -e 8928 -V 5 -w /home/netflow 127.0.0.1/127.0.0.1/9991) > /dev/null 2>&1

<fbl>