Monitorare il traffico di rete con pmacct su Ubuntu (aggiornamento 4)
Aggiornamento degli articoli Monitorare il traffico di rete con pmacct su Ubuntu, Monitorare il traffico di rete con pmacct su Ubuntu (aggiornamento), Monitorare il traffico di rete con pmacct su Ubuntu (aggiornamento 2) e Monitorare il traffico di rete con pmacct su Ubuntu (aggiornamento 3) procedendo all’installazione da sorgenti ed utlizzando la versione 9 della tabella su Ubuntu Server 16.04.1
Di sistemi per il monitoraggio della rete ce ne sono molti ma alla fine ho optato per il programma che si chiama pmacct che descritto molto grezzamente si tratta di uno sniffer di rete che registra il traffico su MySQL, PostgreSQL oppure SQLite.
Innanzi tutto si procede all’installazione di MySQL se ancora manca ( o PostgreSQL o SQLlite ):
Non sto a riprendere la configurazione di MySQL in quanto in rete c’è abbastanza documentazione in merito.
Nel caso avessimo già un server MySQL esterno, serve installare solo la parte client:
Per avere le ultime versioni occorre installare da sorgenti, però per avere la comodità dei pacchetti .deb si può utilizzare il programma checkinstall per creare un installazione personalizzata:
Le dipendenze richieste per la compilazione:
Si scarica dal sito l’ultima versione e si estrae l’archivio, ad esempio:
Si procede alla preparazione dei sorgenti, ricordandosi di abilitare il plugin che ci interessa ( nel mio caso uso MySQL ) e infine richiamando checkinstall al posto di makeinstall verrà creato prima il pacchetto .deb ed inseguito installato tramite dpkg:
Un altenativa alla compilazione:
Copiare a mano i file di esempio:
E’ possibile ora cancellare i sorgenti in quanto se volessimo disinstallarlo essendo stato pacchettizzato .deb basta usare dpkg -r pmacct
Se manca, si deve creare il database con la tabella versione 9, che al momento in cui scrivo è l’ultima, se esiste già un database basta proseguire alla sezione ‘Configurare il programma‘:
Impostare i permessi di default ( utente pmacct@localhost ):
Cambiare la password:
Configurare il programma:
Un esempio di configurazione:
Avviare il demone e controllare sul nostro database i record che vengono inseriti:
E’ anche possibile creare il file di avvio, si crea ad esempio uno script /etc/init.d/pmacctd:
E lo si abilita:
Nota: ho notato che su reti diciamo discrete la mole di dati generata influisce notevolmente sulle prestazioni richieste dal server MySQL, ogni tanto è cosigliato spostare i dati storici su una copia della tabella meglio ancora su un altro database/host.
Nota 2: se il traffico è elevato e si usa il raggruppamento è possibile che venga richiesto un server MySQL con alte prestazioni di CPU e di I/O su disco in quanto le istruzioni di UPDATE sono molte, in tal caso ridurre il periodo di raggruppamento ( es. da 30m a 5m ) e usare l’istruzione “sql_dont_try_update: true” che usa la memoria per limitare al massimo le istruzioni di UPDATE, appoggiandosi a versioni InnoDB invece che MyISAM delle tabelle.
Nota 3: Nel caso servisse recuperare i dati dal file di recupero ( recovery_log ) utilizzare il comando pmmplay:
Se serve solo testare cosa c’è nel file senza fare modifiche al database aggiungere il parametro -t.
Sul wiki ufficiale però sconsigliano di utilizzare il file di recupero dicendo che sarà dismesso ma di urilizzare eventualmente un DB di backup:
While planning for a recovery method, consider that the logfile method is being discontinued and you are encouraged to use the backup DB option.
Nota 4: Nel caso si utilizzi un server MySQL esterno controllare che le due macchine abbiano lo stesso timezone tramite il comando date, in caso siano diversi occorre riconfigurarlo per impostarlo uguale, riavviare anche MySQL dopo:
Per tenere anche sincronizzati gli orari tramite un NTP server:
Nota 5: Nel caso servisse controllare eventuali errori fare riferimento al syslog:
Nota 6: Se sul gateway ci sono configurate più reti da monitorare ho notato che conviene far girare un processo distinto per ogni LAN, quindi creare una copia del file di configurazione:
Modificare il nuovo file di configurazione che legga sulla seconda interfaccia e cambiare lo script di avvio in maniera che mandi in esecuzione due processi distinti, quindi aprire /etc/init.d/pmacctd e nella procedura start() modificare in: