标签 网络监控 下的文章

保持对我们的网络的管理，防止任何程序过度使用网络、导致整个系统操作变慢，对管理员来说是至关重要的。有几个网络监视工具可以用于不同的操作系统。在这篇文章中，我们将讨论从 Linux 终端中运行的 10 个网络监视工具。它对不使用 GUI 而希望通过 SSH 来保持对网络管理的用户来说是非常理想的。

iftop

iftop network monitoring tool

Linux 用户通常都熟悉 top —— 这是一个系统监视工具，它允许我们知道在我们的系统中实时运行的进程，并可以很容易地管理它们。iftop 与 top 应用程序类似，但它是专门监视网络的，通过它可以知道更多的关于网络的详细情况和使用网络的所有进程。

我们可以从 这个链接 获取关于这个工具的更多信息以及下载必要的包。

vnstat

vnstat network monitoring tool

vnstat 是一个缺省包含在大多数 Linux 发行版中的网络监视工具。它允许我们对一个用户选择的时间周期内发送和接收的流量进行实时控制。

我们可以从 这个链接 获取关于这个工具的更多信息以及下载必要的包。

iptraf

iptraf monitoring tool for linux

IPTraf 是一个基于控制台的 Linux 实时网络监视程序。它会收集经过这个网络的各种各样的信息作为一个 IP 流量监视器，包括 TCP 标志信息、ICMP 详细情况、TCP / UDP 流量故障、TCP 连接包和字节计数。它也收集接口上全部的 TCP、UDP、…… IP 协议和非 IP 协议 ICMP 的校验和错误、接口活动等等的详细情况。（LCTT 译注：此处原文有误，径改之）

我们可以从 这个链接 获取这个工具的更多信息以及下载必要的包。

Monitorix - 系统和网络监视

monitorix system monitoring tool for linux

Monitorix 是一个轻量级的免费应用程序，它设计用于去监视尽可能多的 Linux / Unix 服务器的系统和网络资源。它里面添加了一个 HTTP web 服务器，可以定期去收集系统和网络信息，并且在一个图表中显示它们。它跟踪平均系统负载、内存分配、磁盘健康状态、系统服务、网络端口、邮件统计信息（Sendmail、Postfix、Dovecot 等等）、MySQL 统计信息以及其它的更多内容。它设计用于去管理系统的整体性能，以及帮助检测故障、瓶颈、异常活动等等。

下载及更多 信息在这里。

dstat

dstat network monitoring tool

这个监视器相比前面的几个知名度低一些，但是，在一些发行版中已经缺省包含了。

我们可以从 这个链接 获取这个工具的更多信息以及下载必要的包。

bwm-ng

bwm-ng monitoring tool

这是最简化的工具之一。它允许你去从连接中交互式取得数据，并且，为了便于其它设备使用，在取得数据的同时，能以某些格式导出它们。

我们可以从 这个链接 获取这个工具的更多信息以及下载必要的包。

ibmonitor

ibmonitor tool for linux

与上面的类似，它显示连接接口上过滤后的网络流量，并且，明确地将接收流量和发送流量区分开。

我们可以从 这个链接 获取这个工具的更多信息以及下载必要的包。 ​

Htop - Linux 进程跟踪

htop linux processes monitoring tool

Htop 是一个更先进的、交互式的、实时的 Linux 进程跟踪工具。它类似于 Linux 的 top 命令，但是有一些更高级的特性，比如，一个更易于使用的进程管理界面、快捷键、水平和垂直的进程视图等更多特性。Htop 是一个第三方工具，它不包含在 Linux 系统中，你必须使用 YUM 或者 APT-GET 或者其它的包管理工具去安装它。关于安装它的更多信息，读这篇文章。

我们可以从 这个链接 获取这个工具的更多信息以及下载必要的包。

arpwatch - 以太网活动监视器

arpwatch ethernet monitoring tool

arpwatch 是一个设计用于在 Linux 网络中去管理以太网通讯的地址解析程序。它持续监视以太网通讯并记录一个网络中的 IP 地址和 MAC 地址的变化，该变化同时也会记录一个时间戳。它也有一个功能是当一对 IP 和 MAC 地址被添加或者发生变化时，发送一封邮件给系统管理员。在一个网络中发生 ARP 攻击时，这个功能非常有用。

我们可以从 这个链接 获取这个工具的更多信息以及下载必要的包。

Wireshark - 网络监视工具

wireshark network monitoring tool

Wireshark 是一个自由的应用程序，它允许你去捕获和查看前往你的系统和从你的系统中返回的信息，它可以去深入到数据包中并查看每个包的内容 —— 以分别满足你的不同需求。它一般用于去研究协议问题和去创建和测试程序的特别情况。这个开源分析器是一个被公认的分析器商业标准，它的流行要归功于其久负盛名。

最初它被叫做 Ethereal，Wireshark 有轻量化的、易于理解的界面，它能分类显示来自不同的真实系统上的协议信息。

结论

​在这篇文章中，我们看了几个开源的网络监视工具。虽然我们从这些工具中挑选出来的认为是“最佳的”，并不意味着它们都是最适合你的需要的。例如，现在有很多的开源监视工具，比如，OpenNMS、Cacti、和 Zennos，并且，你需要去从你的个体情况考虑它们的每个工具的优势。

另外，还有不同的、更适合你的需要的不开源的工具。

你知道的或者使用的在 Linux 终端中的更多网络监视工具还有哪些？

via: http://www.linuxandubuntu.com/home/best-network-monitoring-tools-for-linux

作者：​​LinuxAndUbuntu 译者：qhwdw 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

title=

简介：Bro 网络分析框架

Bro 是一个开源的网络分析框架，侧重于网络安全监控。这是一项长达 15 年的研究成果，被各大学、研究实验室、超级计算机中心和许多开放科学界广泛使用。它主要由伯克利国际计算机科学研究所和伊利诺伊大学厄巴纳-香槟分校的国家超级计算机应用中心开发。

Bro 的功能包括：

  • Bro 的脚本语言支持针对站点定制监控策略
  • 针对高性能网络
  • 分析器支持许多协议，可以在应用层面实现高级语义分析
  • 它保留了其所监控的网络的丰富的应用层统计信息
  • Bro 能够与其他应用程序接口实时地交换信息
  • 它的日志全面地记录了一切信息，并提供网络活动的高级存档

本教程将介绍如何从源代码构建，并在 Ubuntu 16.04 服务器上安装 Bro。

准备工作

Bro 有许多依赖文件:

从源代码构建还需要：

  • CMake 2.8+
  • Make
  • GCC 4.8+ or Clang 3.3+
  • SWIG
  • GNU Bison
  • Flex
  • Libpcap headers
  • OpenSSL headers
  • zlib headers

起步

首先，通过执行以下命令来安装所有必需的依赖项：

# apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev

安装定位 IP 地理位置的 GeoIP 数据库

Bro 使用 GeoIP 的定位地理位置。安装 IPv4 和 IPv6 版本：

$ wget http://geolite.maxmind.com/download/geoip/database/GeoLiteCity.dat.gz
$wget http://geolite.maxmind.com/download/geoip/database/GeoLiteCityv6-beta/GeoLiteCityv6.dat.gz

解压这两个压缩包：

$ gzip -d GeoLiteCity.dat.gz
$ gzip -d GeoLiteCityv6.dat.gz

将解压后的文件移动到 /usr/share/GeoIP 目录下：

# mvGeoLiteCity.dat /usr/share/GeoIP/GeoIPCity.dat
# mv GeoLiteCityv6.dat /usr/share/GeoIP/GeoIPCityv6.dat

现在，可以从源代码构建 Bro 了。

构建 Bro

最新的 Bro 开发版本可以通过 git 仓库获得。执行以下命令：

$ git clone --recursive git://git.bro.org/bro

转到克隆下来的目录，然后使用以下命令就可以简单地构建 Bro：

$ cd bro
$ ./configure
$ make

make 命令需要一些时间来构建一切。确切的时间取决于服务器的性能。

可以使用一些参数来执行 configure 脚本，以指定要构建的依赖关系，特别是 --with-* 选项。

安装 Bro

在克隆的 bro 目录中执行：

# make install

默认安装路径为 /usr/local/bro。

配置 Bro

Bro 的配置文件位于 /usr/local/bro/etc 目录下。 这里有三个文件:

  • node.cfg，用于配置要监视的单个节点（或多个节点）。
  • broctl.cfg，BroControl 的配置文件。
  • networks.cgf，包含一个使用 CIDR 标记法表示的网络列表。

配置邮件设置

打开 broctl.cfg 配置文件:

# $EDITOR /usr/local/bro/etc/broctl.cfg

查看 Mail Options 选项，并编辑 MailTo 行如下:

# Recipient address for emails sent out by Bro and BroControl
MailTo = [email protected]

保存并关闭。还有许多其他选项，但在大多数情况下，默认值就足够好了。

选择要监视的节点

开箱即用，Bro 被配置为以独立模式运行。在本教程中，我们就是做一个独立的安装，所以没有必要改变。但是，也请查看 node.cfg 配置文件：

# $EDITOR /usr/local/bro/etc/node.cfg

在 [bro] 部分，你应该看到这样的东西：

[bro]
type=standalone
host=localhost
interface=eth0

请确保 inferface 与 Ubuntu 16.04 服务器的公网接口相匹配。

保存并退出。

配置监视节点的网络

最后一个要编辑的文件是 network.cfg。使用文本编辑器打开它：

# $EDITOR /usr/local/bro/etc/networks.cfg

默认情况下，你应该看到以下内容：

# List of local networks in CIDR notation, optionally followed by a
# descriptive tag.
# For example, "10.0.0.0/8" or "fe80::/64" are valid prefixes.

10.0.0.0/8          Private IP space
172.16.0.0/12       Private IP space
192.168.0.0/16      Private IP space

删除这三个条目（这只是如何使用此文件的示例），并输入服务器的公用和专用 IP 空间，格式如下：

X.X.X.X/X        Public IP space
X.X.X.X/X        Private IP space

保存并退出。

使用 BroControl 管理 Bro 的安装

管理 Bro 需要使用 BroControl，它支持交互式 shell 和命令行工具两种形式。启动该 shell：

# /usr/local/bro/bin/broctl

要想使用命令行工具，只需将参数传递给上一个命令，例如：

# /usr/local/bro/bin/broctl status

这将通过显示以下的输出来检查 Bro 的状态：

Name         Type       Host          Status    Pid    Started
bro          standalone localhost     running   6807   20 Jul 12:30:50

结论

这是一篇 Bro 的安装教程。我们使用基于源代码的安装，因为它是获得可用的最新版本的最有效的方法，但是该网络分析框架也可以下载预构建的二进制格式文件。

下次见！

via: https://www.unixmen.com/how-to-install-bro-ubuntu-1604/

作者：Giuseppe Molica 译者：firmianay 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

对任何规模的业务来说，网络监控工具都是一个重要的功能。网络监控的目标可能千差万别。比如，监控活动的目标可以是保证长期的网络服务、安全保护、对性能进行排查、网络使用统计等。由于它的目标不同，网络监控器使用很多不同的方式来完成任务。比如对包层面的嗅探，对数据流层面的统计数据，向网络中注入探测的流量，分析服务器日志等。

尽管有许多专用的网络监控系统可以365天24小时监控，但您依旧可以在特定的情况下使用命令行式的网络监控器，某些命令行式的网络监控器在某方面很有用。如果您是系统管理员，那您就应该有亲身使用一些知名的命令行式网络监控器的经历。这里有一份Linux上流行且实用的网络监控器列表。

包层面的嗅探器

在这个类别下，监控工具在链路上捕捉独立的包，分析它们的内容，展示解码后的内容或者包层面的统计数据。这些工具在最底层对网络进行监控、管理，同样的也能进行最细粒度的监控，其代价是影响网络I/O和分析的过程。

  1. dhcpdump：一个命令行式的DHCP流量嗅探工具，捕捉DHCP的请求/回复流量，并以用户友好的方式显示解码的DHCP协议消息。这是一款排查DHCP相关故障的实用工具。
  2. dsniff：一个基于命令行的嗅探、伪造和劫持的工具合集，被设计用于网络审查和渗透测试。它可以嗅探多种信息，比如密码、NSF流量（LCTT 译注：此处疑为 NFS 流量）、email消息、网络地址等。
  3. httpry：一个HTTP报文嗅探器，用于捕获、解码HTTP请求和回复报文，并以用户友好的方式显示这些信息。（LCTT 译注：延伸阅读。 ）
  4. IPTraf：基于命令行的网络统计数据查看器。它实时显示包层面、连接层面、接口层面、协议层面的报文/字节数。抓包过程由协议过滤器控制，且操作过程全部是菜单驱动的。（LCTT 译注：延伸阅读。）

  1. mysql-sniffer：一个用于抓取、解码MySQL请求相关的数据包的工具。它以可读的方式显示最频繁或全部的请求。
  2. ngrep：在网络报文中执行grep。它能实时抓取报文，并用正则表达式或十六进制表达式的方式匹配（过滤）报文。它是一个可以对异常流量进行检测、存储或者对实时流中特定模式报文进行抓取的实用工具。
  3. p0f：一个被动的基于包嗅探的指纹采集工具，可以可靠地识别操作系统、NAT或者代理设置、网络链路类型以及许多其它与活动的TCP连接相关的属性。
  4. pktstat：一个命令行式的工具，通过实时分析报文，显示连接带宽使用情况以及相关的协议（例如，HTTP GET/POST、FTP、X11）等描述信息。

  1. Snort：一个入侵检测和预防工具，通过规则驱动的协议分析和内容匹配，来检测/预防活跃流量中各种各样的后门、僵尸网络、网络钓鱼、间谍软件攻击。
  2. tcpdump：一个命令行的嗅探工具，可以基于过滤表达式抓取网络中的报文，分析报文，并且在包层面输出报文内容以便于包层面的分析。他在许多网络相关的错误排查、网络程序debug、或安全监测方面应用广泛。
  3. tshark：一个与Wireshark窗口程序一起使用的命令行式的嗅探工具。它能捕捉、解码网络上的实时报文，并能以用户友好的方式显示其内容。

流/进程/接口层面的监控

在这个分类中，网络监控器通过把流量按照流、相关进程或接口分类，收集每个流、每个进程、每个接口的统计数据。其信息的来源可以是libpcap抓包库或者sysfs内核虚拟文件系统。这些工具的监控成本很低，但是缺乏包层面的检视能力。

  1. bmon：一个基于命令行的带宽监测工具，可以显示各种接口相关的信息，不但包括接收/发送的总量/平均值统计数据，而且拥有历史带宽使用视图。

  1. iftop：一个带宽使用监测工具，可以实时显示某个网络连接的带宽使用情况。它对所有带宽使用情况排序并通过ncurses的接口来进行可视化。他可以方便的监控哪个连接消耗了最多的带宽。（LCTT 译注：延伸阅读。）
  2. nethogs：一个基于ncurses显示的进程监控工具，提供进程相关的实时的上行/下行带宽使用信息。它对检测占用大量带宽的进程很有用。（LCTT 译注：延伸阅读。）
  3. netstat：一个显示许多TCP/UDP的网络堆栈的统计信息的工具。诸如打开的TCP/UDP连接书、网络接口发送/接收、路由表、协议/套接字的统计信息和属性。当您诊断与网络堆栈相关的性能、资源使用时它很有用。
  4. speedometer：一个可视化某个接口发送/接收的带宽使用的历史趋势，并且基于ncurses的条状图进行显示的终端工具。

  1. sysdig：一个可以通过统一的界面对各个Linux子系统进行系统级综合性调试的工具。它的网络监控模块可以监控在线或离线、许多进程/主机相关的网络统计数据，例如带宽、连接/请求数等。（LCTT 译注：延伸阅读。）
  2. tcptrack：一个TCP连接监控工具，可以显示活动的TCP连接，包括源/目的IP地址/端口、TCP状态、带宽使用等。

  1. vnStat：一个存储并显示每个接口的历史接收/发送带宽视图（例如，当前、每日、每月）的流量监控器。作为一个后台守护进程，它收集并存储统计数据，包括接口带宽使用率和传输字节总数。（LCTT 译注：延伸阅读。）

主动网络监控器

不同于前面提到的被动的监听工具，这个类别的工具们在监听时会主动的“注入”探测内容到网络中，并且会收集相应的反应。监听目标包括路由路径、可供使用的带宽、丢包率、延时、抖动（jitter）、系统设置或者缺陷等。

  1. dnsyo：一个DNS检测工具，能够管理跨越多达1500个不同网络的开放解析器的DNS查询。它在您检查DNS传播或排查DNS设置的时候很有用。
  2. iperf：一个TCP/UDP带宽测量工具，能够测量两个端点间最大可用带宽。它通过在两个主机间单向或双向的输出TCP/UDP探测流量来测量可用的带宽。它在监测网络容量、调谐网络协议栈参数时很有用。一个叫做netperf的变种拥有更多的功能及更好的统计数据。
  3. netcat/socat：通用的网络调试工具，可以对TCP/UDP套接字进行读、写或监听。它通常和其他的程序或脚本结合起来在后端对网络传输或端口进行监听。（LCTT 译注：延伸阅读。）
  4. nmap：一个命令行的端口扫描和网络发现工具。它依赖于若干基于TCP/UDP的扫描技术来查找开放的端口、活动的主机或者在本地网络存在的操作系统。它在你审查本地主机漏洞或者建立维护所用的主机映射时很有用。zmap是一个类似的替代品，是一个用于互联网范围的扫描工具。（LCTT 译注：延伸阅读。）
  5. ping：一个常用的网络测试工具。通过交换ICMP的echo和reply报文来实现其功能。它在测量路由的RTT、丢包率以及检测远端系统防火墙规则时很有用。ping的变种有更漂亮的界面（例如，noping）、多协议支持（例如，hping）或者并行探测能力（例如，fping）。（LCTT 译注：延伸阅读。）

  1. sprobe：一个启发式推断本地主机和任意远端IP地址之间的网络带宽瓶颈的命令行工具。它使用TCP三次握手机制来评估带宽的瓶颈。它在检测大范围网络性能和路由相关的问题时很有用。
  2. traceroute：一个能发现从本地到远端主机的第三层路由/转发路径的网络发现工具。它发送限制了TTL的探测报文，收集中间路由的ICMP反馈信息。它在排查低速网络连接或者路由相关的问题时很有用。traceroute的变种有更好的RTT统计功能（例如，mtr）。

应用日志解析器

在这个类别下的网络监测器把特定的服务器应用程序作为目标（例如，web服务器或者数据库服务器）。由服务器程序产生或消耗的网络流量通过它的日志被分析和监测。不像前面提到的网络层的监控器，这个类别的工具能够在应用层面分析和监控网络流量。

  1. GoAccess：一个针对Apache和Nginx服务器流量的交互式查看器。基于对获取到的日志的分析，它能展示包括日访问量、最多请求、客户端操作系统、客户端位置、客户端浏览器等在内的多个实时的统计信息，并以滚动方式显示。

  1. mtop：一个面向MySQL/MariaDB服务器的命令行监控器，它可以将成本最大的查询和当前数据库服务器负载以可视化的方式显示出来。它在您优化MySQL服务器性能、调谐服务器参数时很有用。

  1. ngxtop：一个面向Nginx和Apache服务器的流量监测工具，能够以类似top指令的方式可视化的显示Web服务器的流量。它解析web服务器的查询日志文件并收集某个目的地或请求的流量统计信息。

总结

在这篇文章中，我展示了许多命令行式监测工具，从最底层的包层面的监控器到最高层应用程序层面的网络监控器。了解那个工具的作用是一回事，选择哪个工具使用又是另外一回事。单一的一个工具不能作为您每天使用的通用的解决方案。一个好的系统管理员应该能决定哪个工具更适合当前的环境。希望这个列表对此有所帮助。

欢迎您通过回复来改进这个列表的内容！

via: http://xmodulo.com/useful-command-line-network-monitors-linux.html

作者：Dan Nanni 译者：wwy-hust 校对：wxy

本文由 LCTT 原创翻译，Linux中国 荣誉推出