[решено] Аудит ipfw в реальном времени (?)

[dmitryst]

Задача такая. Есть маршрутизатор на FreeBSD, работает в прозрачном режиме (пока что). Надо организовать такую схему, чтобы прохождение любого пакета сопровождалось выводом на экран правила, по которому он прошел (или не прошел), адреса источника и назначения, ну и дата/время. Причем все это должно быть в реальном времени, плюс запись в файл лога (по дням, прошедшие пакеты -в один лог, не прошедшие - в другой). Как это реализовать, пока не додумался... В гугле искал, но всё не то... Если что, могу написать простой обработчик на perl, но алгоритм работы абсолютно не представляю :sorry:

[Аlchemist]

Какой трафик собираетесь считать?
Прозрачный режим - прозрачный прокси имеется ввиду?

[dmitryst]

Аlchemist, нет, имеется в виду- "разрешён любой трафик", то есть запрешённых пакетов пока не будет. Считать буду трафик, например, между eth0 и eth1 (локалка и "мир")

[Аlchemist]

dmitryst,
Тогда такой вопрос: зачем в реальном времени на консоль? Вы представляете что там будет? Сомневаюсь что вы что-то разберете.
Другое дело, сделать логирование разрешающего правила- можно потом смотреть в логах что куда и как пошло

[dmitryst]

Аlchemist, в том-то и дело, что надо бы как-то визуализировать процесс, я уж потом что-то придумаю для сортировки. А со стандартным логом тоже не все хорошо, нечитаем, практически (я-то разберу, но нужно еще и начальству наглядно показывать). Или, как вариант, аналог mgrt - выводить данные в картинку, а ее смотреть в браузере. Наверняка ведь есть готовое решение, не хочу изобретать велосипед. Пока, во всяком случае.

[Аlchemist]

Вобщем две софтины для твоих задач:
trafshow & iftop - обе есть в портах

[Igor_I]

dmitryst, на чем остановился?

[dmitryst]

Igor_I, да пока в поисках. Начальство хочет видеть, "если кто-то зашел на такой-то сайт, это должно быть у нас на экране, сразу же". Так что пока вожусь над собственным пректом на perl-е. Честно говоря, не очень получается, буду пробовать программки по совету Аlchemist-а

[dmitryst]

на чем остановился? »
iftop :) При наличии шлюза очень удобно - видно, кто, и куда. Имена хостов прописал в /etc/hosts, в одной строке виден адрес назначения и источника. Удобно :)