Доброго времени суток.
Имеется межсетевой экран Altell NEO (кастомизированный linux vyatta). Примерная схема на картинке https://ibb.co/ksyywQ. Т.е. имеется белый маршрутизируемый пул, арендованный у оператора связи, мне необходимо копить статистику по сессиям к машинам, которые используют эти белые адреса (на схеме они отсутствуют, но подразумевается что они смотрят в L2 устройство). У Altell NEO есть функция учета трафика (я включил flow-accounting для eth0), но без таймштампов и записей очень много. Выдается примерно в таком виде:
admin@NEO1UI:~$ show flow-accounting interface eth0
running
flow-accounting for [eth0]
Src Addr Dst Addr Sport Dport Proto Packets Bytes Flows
178.187.127.241 80.89.163.242 55777 55777 udp 3285 3121978 1
82.200.16.98 80.89.163.248 55777 55777 udp 2592 2562538 1
.....................
Total entries: 1,980
Total flows : 2,071
Total pkts : 118,796
Total bytes : 35,909,806
Как бы там ни было, очевидно что без анализатор мне не обойтись. Я почитал о netflow и архитектура мне примерно понятна, но пока слабо представляю откуда подступиться. На Altell NEO можно указать адрес и порт коллектора, интервал выборки, время жизни сессий для различного трафика и т.д. Теперь мне нужно выбрать какое-то ПО и развернуть коллектор и анализатор.
Собственно, вопросы:
1. Правильно ли я понял принцип.
2. Порекомендуйте пожалуйста опенсорс коллектор и анализатор не сложные в настройке. Я так понял, ntopng довольно распространенный, но не уверен включает ли он в себя функцию коллектора.
P.S. на Altell в качестве сенсора работает uacctd, но куда сливаются записи, которые можно посмотреть командой show flow-accounting interface eth0, так и не нашел. В uacctd.conf это не указано, пытался куски записей грепать рекурсивно по содержимому файлов - безрезультатно.
