Раскритикуйте идейку

[aidmax]

На уровне аггрегации стоит L3 свич, к нему подключены управляемые свичи второго уровня с acl mac+port, этот свич выполняет следущие функции:

acl на основе привязки mac+ip, коммутация L3, он миррорит трафик со всех своих портов на подключенный к нему роутер с netflow---вот тут у меня сомнения по поводу возможности использрования Cisco, придется наверное ставить ПК с карточкой в promiscious mode. Кто нибудь пользовал такую схему ??

[Nailer]

В чем сомнения по поводу циски? Она не сумеет считать пролетающий _мимо_ нее траффик, только входящий в интерфейсы, поэтому можно на L3 свитче завернуть выходящий из сегмента траффик на роутер через роут-мап, они как правило бывают на L3 свитчах.

 

А если вы хотите считать ВЕСЬ траффик, в том числе внутрисегментный, пролетающий через свитч - то тут роутер не справится, иначе он и будет маршрутизировать в себе все аплинки свитча, уж лучше и правда комп ставить, хотя коряво это имхо..

[Guest]

aidmax

Схема глупая, так как миррор порт загнется при нормальной нагрузке и будет большая потеря пакетов.

Миррор получает больше трафика чем один порт: так как миррор ВЫДАЕТ из себя и входящий и исходящий трафик зеркалированных портов!

То есть если ты зеркалишь один 100 мегабитный порт на другой 100 мегабитный и загрузка зеркалированного у тебя 100 даунстрим и 100 апстрим, тогда половина пакетов на зеркальный порт не придет, потому что он должен будет выдать тебе даунстрим 200 мегабит.

Так что схема с зеркалированием годится лишь при слабом трафике, в остальных случаях для подсчета трафика надо использовать отдельную железку.

[MAXxim]

А если зеркалировать на гигабитный порт?

[Nailer]

MAXxim, ну 5 портов туда влезет.. Если, конечно, не продавать юзерам 10-ку ;-) Но на полном гигабите скорее всего захлебнется сама считалка, или машина заткнется на прерываниях.. Погрешность в любом случае будет большой.

[aidmax]

aidmax

Схема глупая, так как миррор порт загнется при нормальной нагрузке и будет большая потеря пакетов.

Миррор получает больше трафика чем один порт: так как миррор ВЫДАЕТ из себя и входящий и исходящий трафик зеркалированных портов!

То есть если ты зеркалишь один 100 мегабитный порт на другой 100 мегабитный и загрузка зеркалированного у тебя 100 даунстрим и 100 апстрим, тогда половина пакетов на зеркальный порт не придет, потому что он должен будет выдать тебе даунстрим 200 мегабит.

Так что схема с зеркалированием годится лишь при слабом трафике, в остальных случаях для подсчета трафика надо использовать отдельную железку.

Ну чтож спасибо что подтвердили мои сомнения.

[aidmax]

Кстати неужели больше нет вариантов при использовании netflow кроме cisco или ПК?? Может кто подкинет свежую идею ?

[Nailer]

aidmax, а откуда вы хотите брать нетфлоу, если не с cisco или ПК? Juniper еще умеет, как раз не ПК и не Cisco :-)

[aidmax]

aidmax, а откуда вы хотите брать нетфлоу, если не с cisco или ПК? Juniper еще умеет, как раз не ПК и не Cisco :-)

ну там по моему Jflow хотя одна пестня

[Bushi]

Ну и еще момент. В протоколе Netflow v5 в информации о потоке передается номер интерфейса, на который пришел пакет. И смысл считать трафик для клиентов имеет не по ip-адресам (которые выданы клиентам), а по интерфейсу (один клиент - один интерфейс). В случае зеркалирования информация об интерфейсе будет отсутствовать.

[aidmax]

Ну и еще момент. В протоколе Netflow v5 в информации о потоке передается номер интерфейса, на который пришел пакет. И смысл считать трафик для клиентов имеет не по ip-адресам (которые выданы клиентам), а по интерфейсу (один клиент - один интерфейс). В случае зеркалирования информация об интерфейсе будет отсутствовать.

Вообще то там порядковый номер интерфейса в snmp таблице. Смысл тогда netflow юзать если по snmp посчитать можно???? конечно если нет необходимости в информации L3

[Bushi]

Ну и еще момент. В протоколе Netflow v5 в информации о потоке передается номер интерфейса, на который пришел пакет. И смысл считать трафик для клиентов имеет не по ip-адресам (которые выданы клиентам), а по интерфейсу (один клиент - один интерфейс). В случае зеркалирования информация об интерфейсе будет отсутствовать.

Вообще то там порядковый номер интерфейса в snmp таблице. Смысл тогда netflow юзать если по snmp посчитать можно???? конечно если нет необходимости в информации L3

 

В том то и дело, что многие провайдеры обсчитывают трафик по классам и направлениям на основе ip-адресов. И по snmp конечно так не сделать.

[Guest]

aidmax

Схема глупая, так как миррор порт загнется при нормальной нагрузке и будет большая потеря пакетов.

Миррор получает больше трафика чем один порт: так как миррор ВЫДАЕТ из себя и входящий и исходящий трафик зеркалированных портов!

То есть если ты зеркалишь один 100 мегабитный порт на другой 100 мегабитный и загрузка зеркалированного у тебя 100 даунстрим и 100 апстрим, тогда половина пакетов на зеркальный порт не придет, потому что он должен будет выдать тебе даунстрим 200 мегабит.

Так что схема с зеркалированием годится лишь при слабом трафике, в остальных случаях для подсчета трафика надо использовать отдельную железку.

 

при зеркалировании портов входящий зеркалится на один порт исходящий на другой

 

С уважением Lt