Последний отсчет

Дмитрий Докучаев aka Forb

Xakep, номер #052, стр. 052-068-1

(forb@real.xakep.ru)

Подсчитываем трафик ПРАВИЛЬНО!

Если тебя волнует количество мусора, проходящего через твою машину (а, может, ты работаешь админом, и тогда тебе просто необходима такая информация), эта статья для тебя. Впрочем, думаю, она будет интересна многим, ведь все мы - пользователи инета, честно оплачивающие каждый байт исходящего трафика. Я постарался изложить все тонкости, которые могут тебе пригодиться при подсчете байтов на твоей машине. В качестве подопытной оси я выбрал FreeBSD, как наиболее защищенную и популярную платформу. Тем более, опираясь на эту статью, можно легко провести параллель с Linux, тем самым удовлетворив потребности линуксоида.

Вообще, подсчет трафика сводится к простому снифанию сетевого интерфейса. Для этого существуют свои программы, играющие роль так называемых "мирных сниферов". Но весь трафик на машине обычно перехватывается модулем ядра, а именно "ядерным" фаерволом системы. Для FreeBSD характерно наличие модуля ipfw.ko, с которым тесно взаимодействует /sbin/ipfw. Поэтому для самого разумного и гибкого метода подсчета трафика, нам придется прибегнуть к помощи фаервола. На мой взгляд, это достаточно несложно, но в конечном итоге все зависит от поставленной нами задачи. Допустим, нам нужно считать весь входящий и исходящий трафик. Решением в данном случае будет добавление в таблицу двух новых правил, а именно count входящих и исходящих пакетов. Это будет выглядеть следующим образом:

[root@server root]# ipfw add 1 count ip from any to me

[root@server root]# ipfw add 2 count ip from me to any

Синтаксис ipfw очень простой, ты наверняка поймешь его, даже если никогда не работал с этим фаерволом. В этих двух правилах будет храниться информация о набежавших пакетах, а именно весь трафик в байтах. Разумеется, тебе не нужно копить эти данные в теле правил. К примеру, пусть эта информация записывается каждый день в специальный файл, а затем обнуляется. Обнуление возможно с помощью команды /sbin/ipfw zero, которая выставит в тело каждого count-правила нулевое значение. Попробуем написать Perl-скрипт для вывода трафика в удобочитаемой форме, тем самым облегчив себе жизнь (ведь анализировать данные в байтах довольно сложно).

#!/usr/bin/perl

## Traffic count script

$param=shift; # Хватаем параметр из командной строки

if ($param eq '-z') { exit `ipfw zero` } ## Если он -z - чистим правила

mwrite(count(1),count(2)); ## Выполняем подсчет

sub count {

my($num)=shift;

(undef,undef,$res)=split(' ',`/sbin/ipfw show $num`); ## Выделяем байты из правил фаервола

return $res;

}

sub mwrite {

my(@params)=@_;

foreach $num (@params) {

if (@params[0] eq $num) { $what = 'IN:' } else { $what = 'OUT:' } ## Какой трафик считаем?

if (length $num < 4) { $count = 0; $pref='' } ## Если длина числа меньше четырех - это байты

if (length $num > 3 && length $num < 7) { $count = 1; $pref='k' } ## Если от 5 до 6 - килобайты

if (length $num > 6 && length $num < 10) { $count = 2; $pref='m' } ## Мегабайты

if (length $num >= 10) {$count = 3; $pref='g' } ## Гигабайты