Возможно ли на mirror port подсчитывать трафик по IP.

Netflow.

nfsen(nfdump) - collector + ipt_netflow - sensor

ELK - collector + ipt_netflow - sensor

dlink firewall 210

можно пакеты считать

Вопрос: Nfsen - это NetFlow Sensor, Web-фронтенд для nfdump. Зачем использовать ipt_netflow.

Nfsen/nfdump - коллектор и анализатор в одном флаконе.

Определения что такое сенсор, коллектор, анализатор есть на вики: https://ru.wikipedia.org/wiki/Netflow

ipt_netflow - это сенсор который будет получать статистику из зеркалируемого трафика и отдавать ее в формате Netflow коллектору в случае с nfsen/nfdump - это будет демон nfcapd принимающий данные в формате Netflow.

Заминка вышла с ipt_netflow. Установил softflowd У меня есть недопонимание. Подскажите: Сбор статистики начался. В nfsen пытаюсь статистику вывести входящие потоки . Запускаю на одной из машин закачку. Жду, фильтрую результаты, но вижу, что величина закаченного не соответствует результатам отображения в nfsen. Фактически скачал 1Г а фильтр выдает 50М. вот так выглядит фильтр:

nfdump -M /data/nfsen/profiles-data/live/netall -T -R 2018/02/06/nfcapd.201802061815:2018/02/07/nfcapd.201802071645 -n 10 -s dstip/bytes 'dst net 10.10.10.0/24'

Почему не верно выводит?

Ты tcpdump-ом не пробовал смотреть ?

А на счетчик пакетов/байтов на правиле с ipt_netflow смотрел ?

Получить отмирроренный поток в iptables не совсем просто.

Там либо через бридж, либо через адский enable-promisc.

В конец запутался. Я могу это осуществить средствами softflowd? Зачем мне нужны правила iptables? tcpdump видит пакеты которые зеркалируются на порту свича. Помогите разобраться

по поводу iptables это особенность работы ipt_netflow - понятно.

Фактически скачал 1Г а фильтр выдает 50М

Посмотрите внимательнее в nfdump. Попробуйте небольшие фловы. softflowd экспортирует не сразу (я как-то видел удивительное - запись экспортировалась через несколько часов), может быть ему нужно покрутить параметры

Можете ответите зачем мне включать enable-promisc? Как я понимаю средства softlowd или fprobe могут ловить все что мимо проходит, т.е. фактически работают в неразборчивом режиме.

Если tcpdump ловит нужный трафик, теоретически и softflowd должен ловить. Они используют один и тот же механизм захвата