網(wǎng)絡(luò)流量反映了網(wǎng)絡(luò)的運(yùn)行狀態(tài)，是判別網(wǎng)絡(luò)運(yùn)行是否正常的關(guān)鍵數(shù)據(jù)，在實(shí)際的網(wǎng)絡(luò)中，如果對(duì)網(wǎng)絡(luò)流量控制得不好或發(fā)生網(wǎng)絡(luò)擁塞，將會(huì)導(dǎo)致網(wǎng)絡(luò)吞吐量下降、網(wǎng)絡(luò)性能降低。通過流量測(cè)量不僅能反映網(wǎng)絡(luò)設(shè)備(如路由器、交換機(jī)等)的工作是否正常，而且能反映出整個(gè)網(wǎng)絡(luò)運(yùn)行的資源瓶頸，這樣管理人員就可以根據(jù)網(wǎng)絡(luò)的運(yùn)行狀態(tài)及時(shí)采取故障補(bǔ)救措施和進(jìn)行相關(guān)的業(yè)務(wù)部署來提高網(wǎng)絡(luò)的性能。對(duì)網(wǎng)絡(luò)進(jìn)行流量監(jiān)測(cè)分析，可以建立網(wǎng)絡(luò)流量基準(zhǔn)，通過連接會(huì)話數(shù)的跟蹤、源/目的地址對(duì)分析、TCP流的分析等，能夠及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中的異常流量，進(jìn)行實(shí)時(shí)告警，從而保障網(wǎng)絡(luò)安全。本節(jié)將介紹的Ntop便可以提供詳細(xì)的網(wǎng)絡(luò)流量明細(xì)表。

1.Ntop簡(jiǎn)介

Ntop是一種監(jiān)控網(wǎng)絡(luò)流量的工具，用NTOP顯示網(wǎng)絡(luò)的使用情況比其他一些網(wǎng)管軟件更加直觀、詳細(xì)。NTOP甚至可以列出每個(gè)節(jié)點(diǎn)計(jì)算機(jī)的網(wǎng)絡(luò)帶寬利用率。

2.Ntop主要功能

Ntop主要提供以下一些功能：

①.自動(dòng)從網(wǎng)絡(luò)中識(shí)別有用的信息;

②.將截獲的數(shù)據(jù)包轉(zhuǎn)換成易于識(shí)別的格式;

③.對(duì)網(wǎng)絡(luò)環(huán)境中通信失敗的情況進(jìn)行分析;

④.探測(cè)網(wǎng)絡(luò)環(huán)境中的通信瓶頸,記錄網(wǎng)絡(luò)通信的時(shí)間和過程。

Ntop可以通過分析網(wǎng)絡(luò)流量來確定網(wǎng)絡(luò)上存在的各種問題;也可以用來判斷是否有黑客正在攻擊網(wǎng)絡(luò)系統(tǒng);還可以很方便地顯示出特定的網(wǎng)絡(luò)協(xié)議、占用大量帶寬的主機(jī)、各次通信的目標(biāo)主機(jī)、數(shù)據(jù)包的發(fā)送時(shí)間、傳遞數(shù)據(jù)包的延時(shí)等詳細(xì)信息。

3. Ntop支持的協(xié)議

Ntop比MRTG更容易安裝，如果用手機(jī)話費(fèi)來比喻流量，MRTG便如同提供總費(fèi)用的電話賬單，而Ntop則是列出每一筆費(fèi)用的明細(xì)一樣。目前市場(chǎng)上可網(wǎng)管型的交換機(jī)、路由器都支持SNMP協(xié)議，Ntop支持簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議，所以可以進(jìn)行網(wǎng)絡(luò)流量監(jiān)控。Ntop幾乎可以監(jiān)測(cè)網(wǎng)絡(luò)上的所有協(xié)議: TCP/UDP/ICMP、(R)ARP、IPX、Telnet、DLC、Decnet、DHCP-BOOTP、AppleTalk、Netbios、TCP/UDP、FTP、HTTP、DNS、Telnet、SMTP/POP/IMAP、SNMP、NNTP、NFS、X11、SSH和基于P2P技術(shù)的協(xié)議eDonkey。

4.Ntop支持插件

①.ICMPWATCH：

用于端口檢測(cè)很多人都已經(jīng)知道了可以借助NETSTAT -AN來查看當(dāng)前的連接與開放的端口，但NETSTAT并不萬能，比如Win2000遭到OOB攻擊的時(shí)候，不等NETSTAT就已經(jīng)死機(jī)了。為此，出現(xiàn)了一種特殊的小工具——端口監(jiān)聽程序。端口監(jiān)聽并不是一項(xiàng)復(fù)雜的技術(shù)，但卻能解決一些局部問題。

②.NetFlow：

近年來，很多服務(wù)提供商一直使用NetFlow。因?yàn)镹etFlow在大型廣域網(wǎng)環(huán)境里具有伸縮能力，可以幫助支持對(duì)等點(diǎn)上的最佳傳輸流，同時(shí)可以用來進(jìn)行建立在單項(xiàng)服務(wù)基礎(chǔ)之上的基礎(chǔ)設(shè)施最優(yōu)化評(píng)估，解決服務(wù)和安全問題方面所表現(xiàn)出來的價(jià)值，為服務(wù)計(jì)費(fèi)提供基礎(chǔ)。

③.rrdPlugin：

用于生成流量圖。RRD的作者，也是MRTG的作者，RRD可以簡(jiǎn)單的說是MRTG的升級(jí)版，它比MRTG更靈活，更適合用shell、perl等程序來調(diào)用，成生所要的圖片。

④.sFlow：

sFlow(RFC 3176)是基于標(biāo)準(zhǔn)的最新網(wǎng)絡(luò)導(dǎo)出協(xié)議，能夠解決當(dāng)前網(wǎng)絡(luò)管理人員面臨的很多問題。sFlow已經(jīng)成為一項(xiàng)線速運(yùn)行的“永遠(yuǎn)在線”技術(shù)，可以將sFlow技術(shù)嵌入到網(wǎng)絡(luò)路由器和交換機(jī) ASIC芯片中。與使用鏡像端口、探針和旁路監(jiān)測(cè)技術(shù)的傳統(tǒng)網(wǎng)絡(luò)監(jiān)視解決方案相比，sFlow能夠明顯地降低實(shí)施費(fèi)用，同時(shí)可以使面向每一個(gè)端口的全企業(yè)網(wǎng)絡(luò)監(jiān)視解決方案成為可能。與數(shù)據(jù)包采樣技術(shù)(如RMON)不同，sFlow是一種導(dǎo)出格式，它增加了關(guān)于被監(jiān)視數(shù)據(jù)包的更多信息，并使用嵌入到網(wǎng)絡(luò)設(shè)備中的sFlow代理轉(zhuǎn)發(fā)被采樣數(shù)據(jù)包，因此在功能和性能上都超越了當(dāng)前使用的RMON、RMON II和NetFlow技術(shù)。sFlow技術(shù)獨(dú)特之處在于它能夠在整個(gè)網(wǎng)絡(luò)中，以連續(xù)實(shí)時(shí)的方式監(jiān)視每一個(gè)端口，但不需要鏡像監(jiān)視端口，對(duì)整個(gè)網(wǎng)絡(luò)性能的影響也非常小。

另外，Ntop還允許用戶安裝插件用，以提供對(duì)于特定協(xié)議下具體統(tǒng)計(jì)數(shù)據(jù)的報(bào)告，如NFS和NetBIOS插件。當(dāng)然，Ntop也可以生成運(yùn)行它的主機(jī)的統(tǒng)計(jì)數(shù)據(jù)，列出開放套接字、接收和發(fā)送的數(shù)據(jù)以及每個(gè)過程的相關(guān)主機(jī)對(duì)。

二、Ntop系統(tǒng)的部署

對(duì)于共享網(wǎng)絡(luò)，只須將連接到共享網(wǎng)絡(luò)中的流量采集點(diǎn)的網(wǎng)絡(luò)接口置為混雜工作模式，就可實(shí)現(xiàn)采集網(wǎng)絡(luò)流量數(shù)據(jù)的功能。與交換網(wǎng)絡(luò)相比，網(wǎng)絡(luò)發(fā)生擁塞時(shí)，集線器網(wǎng)絡(luò)的可靠性很低，SNMP問詢命令和回應(yīng)數(shù)據(jù)包可能發(fā)生延遲或丟失，這時(shí)候Ntop檢測(cè)數(shù)據(jù)也就不準(zhǔn)確了，對(duì)于交換網(wǎng)絡(luò)的情況，需要交換設(shè)備的支持(如具有SPAN端口的交換機(jī))。流量采集主機(jī)連接到交換設(shè)備的一個(gè)端口后，通過交換機(jī)的SPAN至(Switched PortAnalyzer)端口把要分析的所有流量鏡像到該采集點(diǎn)上。SPAN在使用中非常靈活，可以監(jiān)視交換機(jī)的單個(gè)端口，也可以監(jiān)視多個(gè)端口，還可以對(duì)VLAN進(jìn)行監(jiān)視。這就使流量異常監(jiān)測(cè)系統(tǒng)具有了很大的靈活性。在一些流量比較大的企業(yè)，我們一般選用兩個(gè)網(wǎng)卡，一塊網(wǎng)卡作為Ntop專用嗅探網(wǎng)卡，連到核心交換機(jī)的鏡像端口，另一塊配上IP地址并開放相應(yīng)端口(默認(rèn)是3000，也可以修改)，連接交換機(jī)的作用是用來登錄Web界面進(jìn)行管理，Ntop的部署如圖所示。

Ntop沒有自己的捕包工具，它需要一個(gè)外部的捕包程序庫：libpcap。Ntop利用libpcap獨(dú)立地從物理鏈路上進(jìn)行捕包，它可以借助libpcap的平臺(tái)成為一個(gè)真正的與平臺(tái)無關(guān)的應(yīng)用程序。它直接從網(wǎng)卡捕包的任務(wù)由libpcap承擔(dān)，所以我們必須確保Linux系統(tǒng)下正確安裝了libpcap。

三.Ntop安裝配置

Ntop工作時(shí)需要使用zlib、gd、libpcap及l(fā)ibpng的函數(shù)，安裝前須檢查服務(wù)器中是否已經(jīng)含有下列的軟件：zlib(zlib-1.1.3-xx以上)、gd(gd-1.3.xx以上)、libpng。可以使用RPM來確認(rèn)：

rpm -qa | grep libpcap

rpm -qa | grep zlib

rpm -qa | grep gd

rpm -qa | grep libpng

如果發(fā)現(xiàn)缺少任何一個(gè)就需要自行安裝，舉例如下。

1.安裝libpcap

# tar zxvf libpcap-0.9.8.tar.gz

# cd libpcap-0.9.8

#./configure

# make&&make install

2.安裝RRDtool

RRDtool是指Round Robin Database 工具(環(huán)狀數(shù)據(jù)庫)。Round Robin是一種處理定量數(shù)據(jù)以及當(dāng)前元素指針的技術(shù)。想象一個(gè)周邊標(biāo)有點(diǎn)的圓環(huán)，這些點(diǎn)就是時(shí)間存儲(chǔ)的位置。從圓心畫一條到圓周的某個(gè)點(diǎn)的箭頭，這就是指針。一個(gè)圓環(huán)上沒有起點(diǎn)和終點(diǎn)，可以一直存儲(chǔ)下去。經(jīng)過一段時(shí)間后，所有可用的位置都會(huì)被用過，該循環(huán)過程會(huì)自動(dòng)重用原來的位置。這樣，數(shù)據(jù)集不會(huì)增大，并且不需要維護(hù)。

#tar -zxvf rrdtool-1.3.1.tar.gz

#export PKG_CONFIG_PATH=/usr/lib/pkgconfig/

#./configure

#make

#make install

3.安裝Ntop

下載ntop安裝包：http://www.nmon.net/packages/rpm/x86_64/ntop/

#rpm -ivh ntop-3.3.10-.x86.rpm

#yum install ntop \\CentOS系統(tǒng)

#apt-get install ntop \\Debian系統(tǒng)

____注意:在Ossim 系統(tǒng)中已經(jīng)為我們安裝好Ntop軟件，可以直接使用。如果您選擇單獨(dú)安裝可以繼續(xù)參考以下內(nèi)容。另外如果您使用Red Hat Linux 、Fedora或CentOS請(qǐng)首先關(guān)閉 SELinux功能。

4.建立Ntop用戶并配置權(quán)限

#useradd ntop

5.建立Ntop存放數(shù)據(jù)的目錄

#mkdir -p /var/ntop

#chown -R ntop.ntop /var/ntop

6.復(fù)制ntop.conf配置文件

#cp /ntop-3.3.10/ntop.conf.sample /etc/ntop.conf

7.設(shè)置管理密碼

在執(zhí)行ntop之前必須先建立管理員密碼，長(zhǎng)度至少5位。使用參數(shù)-A建立管理員密碼

#ntop -A

8.Ntop的管理員密碼重置方法

Ntop的用戶密碼文件是經(jīng)過加密存儲(chǔ)在ntop_pw.db文件中，Ntop用戶密碼存儲(chǔ)位置：

64位版本：/var/lib/ntop_db_64/ntop_pw.db

64位版本需先刪除其密碼文件ntop_pw.db,然后用notp -A 重置管理員密碼后，最后重啟ntop服務(wù)就能生效。

#/etc/init.d/ntop restart

另外，注意一個(gè)細(xì)節(jié)，ntop的訪問日志位置在/var/log/ntop/目錄下,它的pcap log在/var/lib/ntop目錄下。

四、應(yīng)用Ntop

1.啟動(dòng)Ntop

#/usr/local/bin/ntop -i eth0 -d -L -u ntop -P /var/ntop --use-syslog=daemon

命令行中各項(xiàng)簡(jiǎn)要介紹如下。

l -i "eth0"：指定監(jiān)聽網(wǎng)卡。

l -d：后臺(tái)執(zhí)行。

l -L：輸出日志寫入系統(tǒng)日志(/var/log/messages)。

l -u ntop：指定使用Ntop身份執(zhí)行。

l -P /var/ntop：指定Ntop數(shù)據(jù)庫的文件位置。

l -use-syslog=daemon：使用系統(tǒng)日志進(jìn)程。

l -w：使用其他端口，指定ntop使用其他端口，例如執(zhí)行ntop –w 1900以后，便可以使用http://ip:1900來連接ntop

2.利用Web瀏覽器查看Ntop狀況

Ntop的通訊端口為3000,所以在瀏覽器使用IP：3000進(jìn)入ntop便可看到ntop歡迎界面

除此之外,Ntop另一個(gè)重要功能是探測(cè)DDoS類型攻擊，主要是它可以通過分析網(wǎng)路流量來確定網(wǎng)路上存在的各種問題，也可以用來判斷是否有駭客正在攻擊網(wǎng)路系統(tǒng)，還可以很方便地顯示出特定的網(wǎng)路協(xié)議、佔(zhàn)用大量頻寬的 主機(jī)、各次通信的目標(biāo)主機(jī)、資料包的發(fā)送時(shí)間、傳遞資料包的延時(shí)等詳細(xì)訊息。