Есть ли программы для мониторинга трафика Juniper srx?

Question

[PRIZ63rus]

Есть ли программы для мониторинга трафика Juniper srx? Интересуют рабочие варианты, как платные так и бесплатные.

Answer 1

[throughtheether]

Есть ли программы для мониторинга трафика Juniper srx?

Что конкретно вам нужно? Утилизация интерфейсов? Тогда настройте SNMP на SRX и снимайте данные любой удобной программой (cacti/nagios/zabbix/PRTG). Метаданные трафика (IP-адреса, TCP/UDP порты источника/назначения, количество переданных байт за сессию)? Тогда настройте экспорт flow-данных и анализируйте их при помощи flowtools/PRTG.

Comments

[PRIZ63rus]

throughtheether Нашел вот такой пример конфига для экспорта flow, вот только немного не понял, где чей ip нужно указывать?
set services flow-monitoring version9 template ipv4-test ipv4-template
set forwarding-options sampling input rate 100
set forwarding-options sampling input run-length 0
set forwarding-options sampling family inet output flow-server 10.94.200.13 port 9996
set forwarding-options sampling family inet output flow-server 10.94.200.13 version9 template ipv4-test
set forwarding-options sampling family inet output inline-jflow source-address 10.94.200.26
set interfaces reth2 unit 0 family inet sampling input

[throughtheether]

PRIZ63rus:

set forwarding-options sampling family inet output flow-server 10.94.200.13

Здесь адрес сборщика (коллектора) данных (flow-collector).

set forwarding-options sampling family inet output inline-jflow source-address 10.94.200.26

Здесь адрес источника (экспортера) данных (например, loopback или management интерфейс вашего SRX), будет отображаться как exporter IP address на коллекторе.

[PRIZ63rus]

throughtheether: что то не заработал у меня этот конфиг, при проверке пишет:
[edit interfaces reth2]
'unit 0'
reth2 needs to be associated with a non-zero redundancy-group
error: configuration check-out failed

[throughtheether]

PRIZ63rus:

set interfaces reth2 unit 0 family inet sampling input

Эта строчка вам зачем? Если не знаете, зачем, то удалите ее. Я подозреваю, что у вас redundant ethernet не настроен.

Вам с каких интерфейсов статистика нужна?

[PRIZ63rus]

throughtheether: Мне нужна статистика того кто и как грузит канал интернета, и я так понимаю что её лучше снимать с интерфейса к которому подключен кабель провайдера (fe-0/0/6)

[throughtheether]

PRIZ63rus:

set interfaces fe-0/0/6 unit 0 family inet sampling input

для семплинга входящего (потребляемого) трафика ,

set interfaces fe-0/0/6 unit 0 family inet sampling output

для семплинга исходящего (генерируемого) трафика
я предполагаю, у вас с этим физическим интерфейсом связан один логический интерфейс (fe-0/0/6.0)

[PRIZ63rus]

Ну как таковой fe-0/0/6.0 в конфиге не фигурирует, но по запросу show interfaces fe-0/0/6.0 пишет то же что и после строки unit 0 у интерфейса fe-0/0/6.

[PRIZ63rus]

throughtheether: Счетчики заработали, вот только я вижу в качестве ip адреса назначения внешний ip srx, и это немного не то что мне надо.
А для портов ethernet-switching команда sampling не подходит.

[PRIZ63rus]

throughtheether: переписал команду на interfaces vlans unit 0 family inet
который в свою очередь относится к vlans *** l3-interface vlan.0
вроде как работает, и вроде даже так как мне надо.

[throughtheether]

PRIZ63rus: рад, что все заработало

[PRIZ63rus]

throughtheether: Спасибо за помощь. теперь возник вопрос как блокировать отдельных наглеющих личностей в vlan'е по mac адресу средствами самого можжевельника?

[throughtheether]

PRIZ63rus:
на мой взгляд, логичнее это делать на управляемом коммутаторе, как можно ближе источнику (т.е. конечному хосту). В случае SRX можно попробовать воспользоваться port-security (разрешить все адреса, кроме заданного), команда имеет вид

set ethernet-switching-options secure-access-port interface fe-0/0/0.0 allowed-mac aa:bb:cc::dd:ee:ff

[throughtheether]

PRIZ63rus: вообще говоря, многое зависит от того, какая у вас сеть. Можно, например, по DHCP раздавать адреса и настроить ограничение трафика (Policer) для определенных адресов.

[PRIZ63rus]

throughtheether: я policer для vlan'ов пока только научился использовать.

[PRIZ63rus]

throughtheether: и да в этом vlan'е (для которого собирается статистика, для поиска человека вешающего инет) работает dhcp на srx. а адресов ip или mac? и если можно напиши пример конфига или команды.

[throughtheether]

PRIZ63rus: Вот пример ограничения трафика в зависимости от IP-адреса.

Answer 2

[Александр]

Я не уверен, но может zabbix?

Answer 3

[Клёвый Админ]

Всё что умеет snmp