tzsp_packetstream_exporter

tzsp_packetstream_exporter

แอปนี้ส่งออกเมตริกเกี่ยวกับแพ็กเก็ตสตรีมที่ได้รับผ่าน TZSP เป้าหมายคือการวัดประเภทของกระแสข้อมูลที่มองเห็นได้ในระดับ IPv4 โดยไม่ต้องลงรายละเอียดแพ็คเก็ตมากเกินไป

ข้อกำหนดเบื้องต้น

ความต้องการของระบบ:

• .NET Core 3.1
• TShark (ตัวแปรบรรทัดคำสั่งของ Wireshark)
  • บน Ubuntu แพ็คเกจ tshark ก็เพียงพอแล้ว
  • บน Windows ให้ติดตั้ง Wireshark เวอร์ชันเต็ม
• พื้นที่ว่าง 2 GB ในไดเร็กทอรีไฟล์ชั่วคราวขณะรันไทม์

คำสั่ง tshark จะต้องพร้อมใช้งานในเทอร์มินัลใหม่ คุณอาจต้องลงทะเบียนไดเร็กทอรีการติดตั้งในตัวแปรสภาพแวดล้อม PATH

แอปนี้ทำการวิเคราะห์แพ็กเก็ตสตรีมเท่านั้น ไม่ใช่การจับครั้งแรก คุณต้องกำหนดค่าเราเตอร์ให้จับแพ็กเก็ตสตรีมและจัดเตรียมแอปนี้ในรูปแบบ TZSP

MikroTik RouterOS มีการรองรับการจับแพ็คเก็ต TZSP ในตัว คุณยังสามารถกำหนดกฎไฟร์วอลล์ MikroTik ด้วยการดำเนินการ sniff-tzsp เพื่อการกรองทราฟฟิกที่บันทึกไว้โดยละเอียด

เริ่มต้นอย่างรวดเร็ว

1. ตั้งค่าสตรีมแพ็กเก็ต TZSP ไปยังเซิร์ฟเวอร์ที่แอปนี้จะทำงานอยู่ เลือกหมายเลขพอร์ตที่ต้องการสำหรับสตรีม เช่น 1234
2. ดำเนินการแอปเป็น tzsp_packetstream_exporter --interface eth0 --listen-port 1234 (ดู --help สำหรับข้อมูลเพิ่มเติม)
3. ไปที่ http://hostname:9184/metrics เพื่อสำรวจเมตริกที่มีอยู่
4. ลงทะเบียน hostname:9184 ในการกำหนดค่า Prometheus ของคุณเป็นเป้าหมายที่คัดลอก
5. หากใช้ Grafana ให้ติดตั้งแดชบอร์ดเทมเพลต

ตัวอย่างการกำหนดค่าการขูดของ Prometheus:

  - job_name : ' my_packet_analysis '
    static_configs :
      - targets :
        - hostname:9184

ความเข้ากันได้

วิเคราะห์เฉพาะแพ็กเก็ต IPv4 เท่านั้น - IPv6 จะถูกละเว้น

ฉันจะวิเคราะห์สตรีมแพ็กเก็ตแบบขนานหลายรายการได้อย่างไร

คุณสามารถกำหนดเส้นทางสตรีม TZSP หลายรายการไปยังเครื่องวิเคราะห์เดียวกัน ไม่ว่าจะบนพอร์ตเดียวกันหรือพอร์ตแยกกัน (โดยใช้ตัวเลือก --listen-port หลายตัว) เมตริกเอาต์พุตจะมีป้ายกำกับระบุพอร์ตการฟังที่ข้อมูลมาถึง

(ระบบปฏิบัติการใด ๆ ) เหตุใดฉันจึงได้รับข้อผิดพลาดเกี่ยวกับการอนุญาตเมื่อเริ่มต้นระบบ

tshark: ไม่สามารถเรียกใช้ /usr/bin/dumpcap ในกระบวนการลูก: การอนุญาตถูกปฏิเสธ

ผู้ใช้ที่รันแอปจะต้องมีสิทธิ์ที่จำเป็นในการใช้ TShark บน Linux คุณอาจต้องเพิ่มผู้ใช้ในกลุ่ม wireshark ขึ้นอยู่กับการกำหนดค่าระบบ

(Windows) เหตุใดฉันจึงได้รับข้อผิดพลาดเกี่ยวกับการอนุญาตเมื่อเริ่มต้นระบบ

แอปอาจส่งข้อยกเว้นการเข้าถึงที่ถูกปฏิเสธบน Windows หากผู้ใช้ของคุณไม่มีสิทธิ์ในการเผยแพร่ผลลัพธ์บนพอร์ตที่ระบุ คุณสามารถใช้คำสั่ง netsh เพื่อให้สิทธิ์ที่จำเป็นแก่ตัวเอง:

netsh http เพิ่ม urlacl url=http://+:9184/metrics user=DOMAINuser

หมายเลขพอร์ตที่คุณต้องระบุที่นี่คือพอร์ตการเผยแพร่ โดยค่าเริ่มต้นคือ 9184

เหตุใดแอปนี้จึงต้องการ TShark ทำไมไม่เพียงแค่เปิดซ็อกเก็ตแล้วฟัง?!?

การใช้งานโปรโตคอล TZSP สามารถตัดทอนแพ็กเก็ตภายใต้เงื่อนไขบางประการ ซึ่งอาจส่งผลให้ระบบปฏิบัติการกรองแพ็กเก็ตออกและไม่เคยส่งมอบแพ็กเก็ตเหล่านั้นให้กับแอปที่กำลังฟัง การใช้ TShark ช่วยให้มั่นใจได้ว่าเราสามารถประมวลผลแพ็กเก็ตที่ถูกตัดทอนได้