Linux下使用Iptraf進行網路流量的分析

Linux下使用Iptraf進行網路流量的分析 Iptraf是一款linux環境下，監控網路流量的一款絕佳的免費小軟體，特別是安裝到防火牆上，與Iptables一起工作，監控流經防火牆的網路異常，效果非常好。 我的安裝配置環境是redhat 9.0 一、軟體下載 Iptraf的最新版本是2.7.0，可以從下面的地址下載ftp://Iptraf.seul.org/pub/Iptraf/ 二、安裝環境需要 --- gcc 2.7.2.3 or later --- GNU C (glibc) development library 2.1 or later --- ncurses development libraries 4.2 or later 可以在linux下執行： # rpm -qa | grep gcc # rpm -qa | grep glibc # rpm -qa | grep ncurses 如果沒有，則請安裝。 三、安裝 將下載得到的Iptraf-2.7.0.tar.gz上傳到你所要安裝的機器上，我的是防火牆的 /home/yang/ 目錄： # cd /home/yang # tar zxf Iptraf-2.7.0.tar.gz # cd Iptraf-2.7.0 # ./Setup 至此，安裝完畢。 安裝程式會將執行程式安裝到 /usr/local/bin 目錄下，並創 /var/local/Iptraf 目錄放置Iptraf的設定檔，同時建立 /var/log/Iptraf 目錄放置Iptraf產生的記錄檔。 四、運行Iptraf 確認環境變數的PATH變數包含路徑 /usr/local/bin # Iptraf 運行Iptraf後會產生一個字元介面的菜單，點擊x可以退出 Iptraf，各菜單說明如下： 1、菜單Configure... 在這裡可以對 Iptraf 進行配置，所有的修改都將儲存在檔案：/var/local/Iptraf/Iptraf.cfg 中 --- Reverse DNS Lookups 選項，對IP地址反查 DNS名，預設是關閉的。 --- TCP/UDP Service Names 選項，使用伺服器代替連接埠號碼，例如用www 代替80，預設是關閉的。 --- Force promiscuous 混雜模式，此時網卡將接受所有到達的資料，不管是不是發給自己的。 --- Color 終端顯示彩色，當然用telnet ,ssh串連除外，也就是用不支援顏色的終端串連肯定還是沒有顏色。 --- Logging 同時產生記錄檔，在/var/log/Iptraf 目錄下。 --- Activity mode 可以選擇統計單位是kbit/sec 還是 kbyte/sec 。 --- Source MAC addrs in traffic monitor 選擇後，會顯示資料包的源MAC地址。 2、菜單Filters... 在這裡可以設定過濾規則，這是最有用的選項了，當你從遠端連入監控機時，自己的機器與監控機會產生源源不斷的tcp資料包，有時很令人討厭，此時你就可以將自己的ip地址排除在外。 它包括六個選項，分別是：Tcp、Udp、Other IP、ARP、RARP、Non-ip。我們以TCP為例說明，其它選項的配置都很相似。 --- Defining a New Filter 選擇Defining a New Filter後，會出來一對話方塊，要求填入對所建的當前規則的描述名，然後斷行符號確定，Ctrl＋x取消。再接著出現的對話方塊裡，Host name/IP address:的First裡面填源地址，Second裡填目標地址，Wildcard mask的兩個框裡面分別是源地址和目標地址所對應的掩碼，注意，這裡的地址即可以是單個地址，也可以是一個網段，如果是單個IP，則相應的子網路遮罩要填成255.255.255.255，如果是一個網段，則填寫相應的子網路遮罩：例如，想表示192.168.0.0，有256個IP地址的網段，則填寫192.168.0.0，子網是：255.255.255.0，其它類推，All則用0.0.0.0，子網也是0.0.0.0表示。 Port：欄要求填入要過濾的連接埠號碼，0表示任意連接埠號碼。Include/Exclude欄要求填入I或者E，I表示包括，E表示排除。填寫完畢，斷行符號確認，Ctrl x取消。 --- Applying a Filter 我們在上一步定義的一個或多個過濾規則會儲存為一個過濾列表，在沒有應用之前並不起作用，我們可以在這裡選擇我們應用那些過濾規則。所有應用的規則會一直起作用，即使重新啟動Iptraf。我們可以執行Detaching a Filter來取消執行當前所有應用的規則。 --- Editing a Defined Filter 編輯一個已經存在的規則 --- Deleting a Defined Filter 刪除一個已經定義的規則 --- Detaching a Filter 取消執行當前所有應用的規則 3、菜單IP Traffic Monitor IP資料包流量即時監控視窗，注意這裡會監控所有的來往資料包，包括自己的，所以，如果你使用遠程終端串連上來的話，你和監控機將會源源不斷的產生資料流，因此建議在Filters...菜單中將自己的IP過濾掉，是它不產生影響。在這裡可以即時的看到每一個串連的流量狀態，它有兩個視窗，上面的是TCP的串連狀態，下面的視窗可以看到UDP、ICMP、OSPF、IGRP、IGP、IGMP、GRE、ARP、RARP的資料包。可以點擊s鍵選擇排序，可以按照包的數量排序，也可按照位元組的大小排序，如果因為它是即時變化的而導致看不太清楚的話，可以在Configure菜單中把Logging功能開啟，它就會在/var/log/Iptraf 目錄中記錄日誌，以方便你在日後查看，當Logging功能開啟後，當你開始監控Iptraffic時，程式會提示你輸入Log檔案的檔案名稱，預設的是ip_traffic-1.log。 在一個比較繁忙的網路裡，顯示的結果可能很亂，以至於你很難找到自己感興趣的資料，這時可以使用Filters菜單，來過濾顯示的資料。 4、菜單General Interface Statistics 這裡顯示每個網路裝置出去和進入的資料流量統計資訊，包括總計、IP包、非IP包、Bad IP包、還有每秒的流速，單位是kbit/sec或者是kbyte/sec ，這由Configure菜單的Activity選項決定。 如果設定了Filter選項，這裡也受到影響。 5、菜單Detailed Interface Statistics 這裡包括了每個網路裝置的詳細的統計資訊，很簡單，不再贅述。 6、Statistical Breakdowns 這裡提供更詳細的統計資訊，可以按包的大小分類，分別統計；也可以按Tcp/Udp的服務來分類統計，也不再贅述。 7、LAN Station Statistics 提供對每個網路地址通過原生資料的統計資訊。