通过nfsen监控sflow流量

背景介绍

前篇文章写了通过elk分析sflow流量，在实际生产使用时有个工具可以比较容易分析异常流量的产生，比如攻击时查找的攻击者的ip，这个工具就是nfsen。

前期准备

博主的机器仍然是centos6.8，在安装nfsen之前需要安装配置必要的软件环境。

# yum install -y httpd php wget gcc make rrdtool-devel rrdtool-perl perl-MailTools perl-Socket6 flex byacc
# vim /etc/selinux/config
  set SELINUX=disabled
# sudo service httpd start
# chkconfig httpd on

下载安装nfdump

# mkdir /nfsen
# cd /nfsen
# wget https://sourceforge.net/projects/nfdump/files/stable/nfdump-1.6.13/nfdump-1.6.13.tar.gz
# tar zxvf nfdump-1.6.13.tar.gz
# cd nfdump-1.6.13
# ./configure --enable-nfprofile --enable-nftrack --enable-sflow 
# make && sudo make install

下载安装启动nfsen

# cd /nfsen
# wget https://sourceforge.net/projects/nfsen/files/stable/nfsen-1.3.6p1/nfsen-1.3.6p1.tar.gz
之前下了nfsen的1.3.7和1.3.8的版本发现编译总是出错
# tar zxvf nfsen-1.3.6p1.tar.gz
# cd nfsen-1.3.6p1
# cp etc/nfsen-dist.conf etc/nfsen.conf
# vim etc/nfsen.conf
按下面要求修改nfsen配置文件，其他默认就行
$BASEDIR = "/data/nfsen";
$HTMLDIR    = "/var/www/html/nfsen/";
$USER    = "apache";
$WWWUSER  = "apache";
$WWWGROUP = "apache";
%sources = (
    'BGP'    => { 'port' => '9995', 'col' => '#0000ff', 'type' => 'sflow' },
);
@plugins = (
    # profile    # module
    # [ '*',     'demoplugin' ],
    ['live',     'PortTracker'],
);


# mkdir /data
# chown -R apache:apache /data
# ./install.pl etc/nfsen.conf
# vim /etc/init.d/nfsen
添加如下内容
#!/bin/bash
#
# chkconfig: - 50 50
# description: nfsen

DAEMON=/data/bin/nfsen

case "$1" in
		start)
		$DAEMON start
		;;
		stop)
		$DAEMON stop
		;;
		status)
		$DAEMON status
		;;
		restart)
		$DAEMON stop
		sleep 1
		$DAEMON start
		;;
		*)
		echo "Usage: $0 {start|stop|status|restart}"
		exit 1
		;;
esac

exit 0

安装PortTracker插件
# cd /nfsen
# cp nfsen-1.3.6p1/contrib/PortTracker/PortTracker.pm /data/nfsen/plugins/
# cp nfsen-1.3.6p1/contrib/PortTracker/PortTracker.php /var/www/html/nfsen/plugins/
# mkdir /data/ports-db
# chown apache:apache /data/ports-db
# nftrack -I -d  /data/ports-db/ 
# service nfsen start  启动服务即可

nfsen比较好搭建，搭建完打开http://服务器ip/nfsen/nfsen.php即可访问，界面如下：

在流量图上选择一个时间点

在下面的filter选项中选中flow records和bps，点击process即按带宽来排名流信息

下图是porttracker插件的显示，可以看到以443的流量为大头

至此nfsen搭建完毕，科科