netflow + GeoIP

написать фронтенд с geoip в принчипе несложно, но неужели нет уже готового решения?

ntop то? умеет...
>2 -f --traffic-dump-file By default, ntop captures traffic from network interface cards (NICs) or from netFlow/sFlow probes. However, ntop can also read data from a file - typically a tcpdump capture or the output from one of the ntop packet capture options.

только использовать такого толстячка для такой простой функции по моему слишком расточительно, хотя вам виднее :-)

Пы.Сы. день netflow на ЛОРе %-)

ntop умеет читать из файла в формате tcpdump, а у меня данные снимаются коллектором flow-capture. там точно не tcpdump формат внутри у файла.

ntop умеет слушать netflow, в составе flow-tools была команда которая кушала flow файлик и посылала в netflow формате

или перед flow-capture поставьте flow-fanout

>ntop умеет слушать netflow,

т.е. умеет слушать порт, куда приходит стандартный netflow поток? (именно это мне и надо - не нашел у ntop такого)

там плагин вроде всегда был...


static PluginInfo netflowPluginInfo[] = {
  {
    VERSION, /* current ntop version */
    "NetFlow",
    "This plugin is used to setup, activate and deactivate NetFlow support.<br>"
    "<b>ntop</b> can both collect and receive "
    "<A HREF=http://www.cisco.com/warp/public/cc/pd/iosw/ioft/neflct/tech/napps_wp.htm>NetFlow</A> "
    "V1/V5/V7/V9 and <A HREF=http://ipfix.doit.wisc.edu/>IPFIX</A> (draft) data.<br>"
    "<i>Received flow data is reported as a separate 'NIC' in the regular <b>ntop</b> "
    "reports.<br><em>Remember to <A HREF=/switch.html>switch</A> the reporting NIC.</em>",
    "4.1", /* version */
    "<a href=\"http://luca.ntop.org/\" alt=\"Luca's home page\">L.Deri</A>",
    "NetFlow", /* http://<host>:<port>/plugins/NetFlow */

спасибо, щас покапаюсь

ага, ntop имеет принимать netflow поток- то, что нужно
всем спасибо ))

окапзалось, что:

1.ntop умеет отображать флаг страны только для хостов с обраткой.

2.нет какой либо группировки (топа) для стран, т.е. нельзя получить статистику вида "20% - россия,10% - зарубежка"..

придется, как всегда, писать свою тулзу ))