2
Trafficmonitoring im Netzwerk
Ist ein Trafficmonitoring zb via Firewall (Cisco Pix) und Syslog möglich?
Hallo Kollegen,
ich habe derzeit ein unsichtbares, aber deutlich spührbares Problem: Traffic!
Wir nutzen hier ein Netzwerk mit ca. 200 Clients (öffentliche IP-adressen) und 8 Servern. Leider ist unsere Internetanbindung derzeit mehr als nur ausgelastet. Verdachtsmomente woher das kommt, bestehen. Leider bin ich nun angehalten, eine Aufzeichnung zu machen, woher der Traffic tatsächlich stammt. Da sämtlicher Internetverkehr bei uns über unsere Firewall, eine Cisco Pix läuft, habe ich die Idee gehabt, diese zum Zwecke eines Trafficmonitorings einzusetzen. Derzeit sendet mir die Firewall Syslogs, womi ich die Verbnidungen erkennen kann.
Was ich jedoch benötige, ist eine Auflistung der folgenden Art (Werte und IPs frei erfunden):
IP: 160.192.140.15
DL: 35,26GB
UP: 5, 72 GB
IP: 160.192.140.16
DL: 27,73GB
UP: 6,23 GB
Gibt es eine Möglichkeit unsere Cisco Pix dazu bewegen, die Informationen in dieser Form zu sammeln?
Gibt es evtl. eine Möglichkeit, die Syslog-Meldung so auszuwerten, das ich das obige Ergebnis erhalte?
Gibt es eine Alternative um das oben genannte Ergebnis zu erhalten (Möglichst günstig, nofalls wie Sawmill oder Ähnlichem)?
Liebe Grüße,
Boris
ich habe derzeit ein unsichtbares, aber deutlich spührbares Problem: Traffic!
Wir nutzen hier ein Netzwerk mit ca. 200 Clients (öffentliche IP-adressen) und 8 Servern. Leider ist unsere Internetanbindung derzeit mehr als nur ausgelastet. Verdachtsmomente woher das kommt, bestehen. Leider bin ich nun angehalten, eine Aufzeichnung zu machen, woher der Traffic tatsächlich stammt. Da sämtlicher Internetverkehr bei uns über unsere Firewall, eine Cisco Pix läuft, habe ich die Idee gehabt, diese zum Zwecke eines Trafficmonitorings einzusetzen. Derzeit sendet mir die Firewall Syslogs, womi ich die Verbnidungen erkennen kann.
Was ich jedoch benötige, ist eine Auflistung der folgenden Art (Werte und IPs frei erfunden):
IP: 160.192.140.15
DL: 35,26GB
UP: 5, 72 GB
IP: 160.192.140.16
DL: 27,73GB
UP: 6,23 GB
Gibt es eine Möglichkeit unsere Cisco Pix dazu bewegen, die Informationen in dieser Form zu sammeln?
Gibt es evtl. eine Möglichkeit, die Syslog-Meldung so auszuwerten, das ich das obige Ergebnis erhalte?
Gibt es eine Alternative um das oben genannte Ergebnis zu erhalten (Möglichst günstig, nofalls wie Sawmill oder Ähnlichem)?
Liebe Grüße,
Boris
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 142600
Url: https://administrator.de/contentid/142600
Printed on: April 16, 2024 at 06:04 o'clock
2 Comments
Latest comment
Generell lautet die Antwort auf deine o.a. Threadfrage: Nein, das ist NICHT möglich !! Weil....es nicht so ganz einfach ist IP Flows sichtbar zu machen, denn dafür benötigst du eine Flow Analyse auf der PIX mit NetFlow was aber die PIX (jedenfalls ältere) nicht supporten.
Damit kannst du dann mit den üblichen Verdächtigen wie MRTG, Cacti und Paessler Tools eine Auswertung fahren.
http://itknowledgeexchange.techtarget.com/network-technologies/how-to-c ...
http://www.networkuptime.com/tools/netflow/
Alternativ kannst du das auch sehen solltest du einen Switch mit sFlow Support haben wo die PIX draufsteckt wie z.B. HP, Brocade/Foundry, Extreme usw. Mit freinen sFlow Tools kannst du das auch auswerten:
http://www.sflow.org/
http://www.inmon.com/products/sFlowTrend.php#download
Leider machst du aber zu deiner Switchhardware keinerlei Aussagen
Ansonsten, wenn du nur SNMP aktiviert hast, dann kannst du nur die Gesamtbelastung der PIX an ihren Interfaces sehen nicht aber aufgeschlüsselt nach TCP Flows.
Einfach wäre sowas realisierbar über einen Proxy der aber ein Redisign deines Netzes erzwingt.
Am einfachsten ist es um einen schnellen Überblick zu bekommen einen Mirrorport auf dem Switch zu aktivieren wo die PIX dranhängt oder den PIX Port durch einen Hub zu schleifen und den Traffic mit einem Wireshark Sniffer mitzulesen.
Dort kannst du dann ungefähr abschätzen welche IPs dort welchen Traffic verursachen.
Über Syslsog usw. hast du natürlich keinerlei Chancen sowas auszuwerten, denn das sind logischerweise nur System Meldungen der PIX !
Ansonsten bleiben dir nur Trial Versionen kommerzieller Produkte:
http://www.solarwinds.com/products/ipmonitor/
http://www.paessler.com/ip_monitoring
http://www.plixer.com/products/netflow-sflow/free-netflow-scrutinizer.p ...
Damit kannst du dann mit den üblichen Verdächtigen wie MRTG, Cacti und Paessler Tools eine Auswertung fahren.
http://itknowledgeexchange.techtarget.com/network-technologies/how-to-c ...
http://www.networkuptime.com/tools/netflow/
Alternativ kannst du das auch sehen solltest du einen Switch mit sFlow Support haben wo die PIX draufsteckt wie z.B. HP, Brocade/Foundry, Extreme usw. Mit freinen sFlow Tools kannst du das auch auswerten:
http://www.sflow.org/
http://www.inmon.com/products/sFlowTrend.php#download
Leider machst du aber zu deiner Switchhardware keinerlei Aussagen
Ansonsten, wenn du nur SNMP aktiviert hast, dann kannst du nur die Gesamtbelastung der PIX an ihren Interfaces sehen nicht aber aufgeschlüsselt nach TCP Flows.
Einfach wäre sowas realisierbar über einen Proxy der aber ein Redisign deines Netzes erzwingt.
Am einfachsten ist es um einen schnellen Überblick zu bekommen einen Mirrorport auf dem Switch zu aktivieren wo die PIX dranhängt oder den PIX Port durch einen Hub zu schleifen und den Traffic mit einem Wireshark Sniffer mitzulesen.
Dort kannst du dann ungefähr abschätzen welche IPs dort welchen Traffic verursachen.
Über Syslsog usw. hast du natürlich keinerlei Chancen sowas auszuwerten, denn das sind logischerweise nur System Meldungen der PIX !
Ansonsten bleiben dir nur Trial Versionen kommerzieller Produkte:
http://www.solarwinds.com/products/ipmonitor/
http://www.paessler.com/ip_monitoring
http://www.plixer.com/products/netflow-sflow/free-netflow-scrutinizer.p ...
Hallo,
ich habe das Problem nun anders gelöst. Zum einen hätte ich eine Monowall als Router einsetzen können. Diese kann den Traffic loggen und mit etwas mühe auch zentral speichern. Ich habe mich aber auf Grund der übrigen Möglichkeiten für eine MS ISA-Firewall entschieden. Hier nutze ich beispielsweise auch die Funktion des Webcaches und habe die Möglichkeit der Trafficauswertung.
Liebe Grüße und Danke für die Tipps,
Boris
ich habe das Problem nun anders gelöst. Zum einen hätte ich eine Monowall als Router einsetzen können. Diese kann den Traffic loggen und mit etwas mühe auch zentral speichern. Ich habe mich aber auf Grund der übrigen Möglichkeiten für eine MS ISA-Firewall entschieden. Hier nutze ich beispielsweise auch die Funktion des Webcaches und habe die Möglichkeit der Trafficauswertung.
Liebe Grüße und Danke für die Tipps,
Boris