Завязать ng_netflow с ng_nat, чтобы в логах были серые IP?

[Vovik]

кто-нибудь уже настраивал ng_nat + ng_netflow?

никак не получается сделать так, чтобы можно было брать инфу о входящем трафике на внешнем интерфейсе и в логах в качестве Destanation IP был указан серый IP (за НАТом)... Вместо этого показывается только внешний IP.

[Blackmore]

как хуки зацеплены между собой ?

[Vovik]

в этом и вопрос - я не понимаю как эти хуки между собой завязывать :)

ng_nat настроил по MANу - просто переписал оттуда конфиг и все, только мне не понятно как это работает. запутался в хуках. :)

[Vovik]

проблема в том, что у ng_nat нет хуков (как например ng_tee - left и right), которые бы отдавали весь трафик на присоединенный хук после обработки. там только in и out хуки, а вот куда они отдают трафик после обработки - хз... и не понятно где мониторить.

[Blackmore]

вот не стану явно подсказывать :) а в мане про ng_netflow кой что интерсное есть что работает - сегодня проверил сам

[Vovik]

то что в мане - работает когда нет vlan. а у меня для инета один vlan и каждого клиента (юрики) по отдельному vlan. Если мониторить на клиентских vlanах - то все показывает. А если мониторить на инетовском vlan - то "серые" IP не показывает. Хотя dealiasing, на сколько я понимаю, происходит как раз на vlan, который в инет смотрит...

 

Хотелось бы конечно считать трафик только на одном - внешнем интерфейсе.

[Vovik]

эхх, что-то не получается никак :) никто с такой проблеммой не сталкивался чтоли?

[Vovik]

после консультации с Глебом (автор ng_nat) решение нашлось. Все оказывается очень просто!

 

Входящий трафик на хук in выходит через хук out

Входящий трафик на хук out уходит на in

 

Этого в мане не написано, но все работает.

 

Вот пример с использованием ng_tee

 

mkpeer ipfw: tee 60 left

name ipfw:60 tee

mkpeer tee: nat right out

name tee:right nat

connect ipfw: nat: 61 in

msg nat: setaliasaddr a.b.c.d

 

mkpeer tee: netflow left2right iface0

name tee:left2right netflow

connect tee: netflow: right2left iface1

mkpeer netflow: ksocket export inet/dgram/udp

msg netflow:export connect inet/127.0.0.1:10000

 

# без этого работать не будет

msg netflow: setdlt { iface=0 dlt=12 }

msg netflow: setifindex { iface=0 index=5 }

msg netflow: setdlt { iface=1 dlt=12 }

msg netflow: setifindex { iface=1 index=5 }

 

теперь все считается на одном интерфейсе без проблем и учет ведется по "серым" адресам.

[jab]

после консультации с Глебом (автор ng_nat) решение нашлось. Все оказывается очень просто!

 

Если б еще glebius вместо консультаций посвящал

немного времени написанию examples, то не возникало

бы подобных ситуаций.

[Blackmore]

а причем тут примеры ? разве описания разных нетграфовых нод недостаточно ? все это есть в мане - достаточно по прочтени кирпичики сложить в потребную конструкцию, хотя конечно, примеры от разработчика в кулацком хозяйстве завсегда не лишние

[jab]

Судя по обилию вопросов - недостаточно. :-)