Praćenje i analiza mrežnog saobraćaja

1. Republika Srbija  Autonomna Pokrajina Vojvodina IZVRŠNO VEĆE AP VOJVODINA SLUŽBA ZA ZAJEDNIČKE I OPŠTE POSLOVE 21000 NOVI SAD Bulevar Mihajla Pupina16 Praćenje i analiza mrežnog saobraćaja Željko Milankov, dipl.inž.

2. Agenda • Uvod • Alati i metodi za praćenja • Izvođenje • Rezultati praćenja

3. Uvod • Zašto je Monitoring mrežnog saobraćaja bitan • SNMP • MIB • OBJEKTI, OID

4. Zašto je Monitoring mrežnog saobraćaja bitan • Danas većina poslovanja zavisi od računara i mrežne infrastrukture. • Raspoloživost računarske mreže i brzina su krucijalni da to poslovanje bude uspešno kao i efikasnija upotreba dostupnih resursa. • Za mrežne administratore to znači da treba obezbediti raspoloživost ,brzinu i efikasnost upotrebe mreže • To je jedino moguće uraditi neprekidnim praćenjem rada računarske mreže • Monitoring mreže i bandwidth-a kao i drugih mrežnih parametara kao što su memorija ili CPU opterećenje, on-line očitavanjem i periodičnim korišćenjem trendova za optimizaciju efikasnosti, raspoređivanjem i podešavanje, rutera, firewalls, servera, i drugih mrežnih komponenti predstavlja neophodnost u radu svakog IT profesionalca

5. SNMP • Simple Network Management Protocol – skup protokola za upravljanje mrežama, mrežnim uređajima i računarima sa centralne lokacije • UDP port 161/162 • Jedinstven metod za centralizovanje upravljanja TCP/IP • Tri komponente: upravljeni uređaji, agenti i mrežno-upravljčki sistem (NMS) ili manager • Upravljeni uređaji može biti: router, pristupni server, switch, bridg, hub, računar ili štampač • Manager je softver na radnoj stanici i komunicira sa Agentom koji se nalazi na kontrolisanom uređaju

6. Šta je “SNMP Community String”? • SNMP Community string je sličan korisničkom ID ili pasvordu koji dozvoljava pristup statistici rutera ili mrežnog uređaj • Ako je community string korektan, uređaj odgovara sa traženim informacijama. Ako je community string nekorektan, uređaj odbacuje zahtev i ne odgovara na njega • SNMP Community strings koristi se amo kod uređaja koji podržavaju SNMPv1 i SNMPv2c protokol. SNMPv3 upotrebljava username/password autentifikaciju, preko enkriptovanog ključa • Po konvenciji, većina SNMPv1-v2c uređaja dolaze sa a read-only community string postavljenim kao "public". Praksa je da se svi predfinisani community strings kastamizuju na svakom mrežnom uređaju • Community naziv se koristi kao forma za sigurnost u SNMP • Većina uređaja ima "read" or "public" community string, koji omogućuje read-only pristup MIB-u, kao i "write" or "private" community string koji dozvoljava čitanje i podešavanje parametara preko SNMP.

7. MIB I OBJEKTI • Baza upravljivih informacija – Managemet Information Base – MIB • MIB je kolekcija varijabli i drugih informacija koji su programirani u SNMP servis.  MIB-ovi imaju teks fajl koji sadrži OID i opis informacija pronađenim u pojedinom OID.  SNMP servis može imati puno MIB-ova kompajliranih u njega. • Na primer, svi SNMP uređaji imaju standardni MIB koji daje izlazne OID informacije na mrežnim portovima.  Ovaj MIB je poznat kao IF-MIB (RFC-1213) • Tipovi podataka koje razmenjuju Manager i Agent definisani su pomoću baze MIB • MIB je hijerarhiska baza informacija i nalazi se na Agentu, informacije koje prikuplja Agent čuvaju se u MIB-u • Vendori obično definišu sopstvene MIB za sadstavljnje specijalizovanih jedinstvenih podataka za njihove proizvode. • Svaki vendor SNMP opreme ima ekskluzivni deo u stablu MIB strukture pod njihovom kontrolom. (cisco MIB)

8. Objekt – specifičan entitet na uređaju kojim se upravlja • Svaki objekat se koristi za prikupljanje specifičnih podataka • Objekt ima sintaksu, ime i metod šifrovanja koji je vezan za njega • Indetifikator Objekta (OID) jedinstveno određuje tip objekta u MIB hierarhiji, to je numerički string decimalnih cifara razdvojenih tačkom npr: 3.6.1.2.1.1.1 • SNMP šalje poruke (zahteve) mrežnom uređaju koji vraća povratne informacije. Upitan uređaj određuje traženu vrednost sa jednim OID (Object IDentifier) koji, može izgledati ovako: 1.3.6.1.2.1.25.3.3.1.2.2 • Objekat može biti: red-only, read-write i write • U MIB-u objekti su podeljeni na podgrupe: system, interface, ip… • Ovi OID-ri obično se zovu MIB koji su pablikovani od proizvođača hardvera, zbog toga što su OID-ri različiti od uređaja do uređaja. • Tako postoje OID-ri za CPU upotrebu, dostupan prostor diska, prenešeni bajtovi preko mrežnog porta, štampane strane štampača i sl. • OID-ri su generalno obezbeđeni od strane proizvođača hardvera ili mogu biti pronađeni u tz. OID skladištima, gde kolekcija MIB-a i pojedini OID mogu biti dostupni.

9. Alati i metodi za praćenja • MRTG • PRTG • MS ISA Server

10. MRTG • MRTG (The Multi Router Traffic Grapher) je alat (software) za praćenje opterećenja mrežnih linkova. • MRTG generiše HTML strane koje sadrže slike koje daju živu prezentaciju mrežnog saobraćaja • MRTG koristi SNMP za slanje zahteva,sa dva OID-a,uređaju koji se prati. Uređaj, koji mora biti SNMP-enabled, poseduje MIB-oveza traženje određenog OID- a. Posle skupljanja informacija on će poslati nazad sirove podatke koji su enkapsulirani u SNMP protokol. MRTG snima te podatkeu log fajl na klijentu. Software zatim kreirajedanHTML dokument iz log fajla, koji sadrži listu grafika o mrežnom saobraćaju na tom uređaju

11. MRTG nije limitiran na praćenje saobraćaja, već se može koristiti i za druge SNMP varijable kao što su: System Load, Login Sessions, Modem availability. • sa MRTG-om može se pratiti sledeće: - ulazni i izlazni propusni opseg u bitima po sekundi - konekcije u sekundi - ukupan broj istovremenih sesija - bilo koji parametar koji ima SNMP brojač ili OID • MRTG čuva logove svih podataka povučenih sa rutera, ovaj log ne raste tokom vremene, ali ipak sadrži sve revlevantne podatke u prošle dve godine

12. MRTG prati SNMP mrežne uređaje i daje slike koje prikazuju koliko je mrežnog saobraćaja prošlo kroz svaki interfejs • MRTG se sastoji od Perl scripti Konfiguracija MRTG: • IP adresa ili hostname i SNMP port (ako nije standardan) • Ako se prati nešto drugo osim dolaznog i odlaznog saobtaćaja mora se znati SNMP OID onog što se želi pratiti. • Mora se znati read-only SNMP “community string” za posmatrani uređaj, ako ga ne znate probajte sa default a to je “public”

13. SNMP PERL MRTG Praćenje Analiza Proces implementacije • Configuracija SNMP Agenta • Configuracija SNMP Communities and Traps • Configuracija SNMP Security • Windows Firewall – otvaranje porta UDP 161 • Instalacija • Provera sistemske varijable (C:\Perl\bin;%SystemRoot%\system32;...) • Instalacija • Kreiranje cfg fajla • Kreiranje index fajla • Automatizacija rad- servis, web server • po interfesima • po vremenu dnevno , nedeljno, mesečno i godišnje • Preopterećenje linkova • Prekidi saobraćaja • Dokumentacija

14. PRTG • PRTG (Paessler Router Traffic Grapher) je softver koji prati bandwidth kao i mnoge druge mrežne parametre preko SNMP • Najčešće se koristi za monitoring bandwidth na iznajmljenim linkovima, ruterima, i firewalls preko SNMP. Mogu se pratiti mnogi drugi aspekti servera, upravljivih switch-eva, štampača, i drugih mrežnih komponenti, po uslovom da su SNMP-enabled. • Statistika praćenjamože se videti Windows GUI PRTGTraffic Grapher. Takođe, svi aspektikonfigurisanja senzorasu urađeni upotrebom Windows GUI. • Za daljinski pristup za praćenje rezultata PRTG Traffic Grapher dolazi sa ugrađenim web serverom za lak pristuo graficima i tabelama upotrebom web browser

15. Prati bilo koju veličinu koja je pristupačna po SNMP (bilo koji dat OID) • Podržava SNMP verzije 1, 2c, and 3 • Podržava 64 bit kauntere • Ima sopstvenu OID bazu sa mnogo prekonfigurisanih SNMP podešavanja (za CPU opterećenje, disk iskorišćenje, pagecounts štampača i dr.) • Podržava Paessler SNMP Helper za jednostavan pristup nekoliko hiljada “performance counter” na Windows računarima preko SNMP • MIB fajlovi mogu se konvertovati u OIDLIB za praćenje bilo kojeg uređaja koji podržava SNMP • Različiti SNMP parametri (portovi, timeout) mogu biti podešeni od strane korisnika • Izvršava se kao "nt service" na Windows 2000/XP/2003 da bi se obezbedilo neprekidno praćenje (ne morate biti logovani na mašinu) • Uvoz MRTG cfg fajla

16. PRTG

20. REZULTATI PRAĆENJA

24. Traffic Analysis for 23 -- VS1_39_SW01.vojvodina.sr.gov.yu

27. PRTG

29. ISA server- izveštaji o mrežnom saobraćaju • Saobraćaj • Protocols • Traffic • Cache Performance • Connections • Processing Time • Daily traffic • Errors • 5. Sigurnost • Authorization Failures • Dropped Packets 1. Sumarni • Protocols • Top Users • Top Websites • Cache Performance • Traffic • Daily traffic 2. Korišćenje Web-a • Top Web Users • Top Websites • Protocols • HTTP Responses • Object Types • Top Browsers • Operating Systems 3. Korišćenje aplikacija • Protocols • Top Application Users • Top Applications • Operating Systems • Top Destinations

30. 1. Mrežni saobraćaj po Protokolima

32. 2. Mrežni saobraćaj po korisnicima, obuhvata Web i non-Web saobraćaj.

34. 3. Mrežni saobraćaj po web sajtovima

36. 4. Mrežni saobraćaj ukupno

38. 5. Mrežni saobraćaj ukupno dnevno

40. 6. Mrežni saobraćaj po tipovim objekta

42. 7. Izveštaj o pogrešnim autorizacijama

43. Korisni linkovi • SNMP http://snmpboy.msft.net/ • Perl http://www.activestate.com/store/activeperl/download/ • MRTG http://oss.oetiker.ch/mrtg/pub http://www.mrtg.org http://tobi.oetiker.ch • PRTG: http://www.paessler.com/prtg

44. Hvala! zeljko.milankov@vojvodina.sr.gov.yu