Как правильно считать трафик, проходящий через linux шлюз, по url, включая https?

Question

[MarvinD]

Есть шлюз на Linux, сейчас в интернет все ходят через прозрачный Squid. Есть ли возможность учета трафика по url (хотя бы домены только), включая https (обязательно) без использования Squid? Везде примеры для http только вижу, а сейчас уже минимум половина сайтов https. По идее, вариантов два: netflow или squid (или другой прокси). Все, что описано подробно (например, xgu.ru/wiki/NetFlow) считают по IP. Но на одном IP далеко не уехать. Как сейчас обычные люди считают https трафик из локальной сети в интернет?

Answer 1

[mace-ftl]

Если коротко, то по доменам
1) В хттп да, на одном айпи может быть пачка доменов
2) В хттпс нет - там могут быть поддомены, но разных не может быть т.к. в сертификате там явно указано например *.mail.ru - т.е. под Вашу задачу подходит.

Сделайте гибрид из вышеуказанного, на мой взгляд

Comments

[MarvinD]

По опыту, на вирт. хостингах можно на один IP вешать несколько SSL сертификатов. Проверено. Вот, кстати, nexthop выше про SNI писал. Может и еще что-то есть. Хотя те сайты, которые чаще интересуют в плане статистики - крупные, они скорее всего не делят IP с кем-то еще. Хорошая мысль, спасибо.

[mace-ftl]

MarvinD: хм, согласен. Ну в любом - берём сессию, и из сертификата достуём имя сервера - и в статистику по этому имени (или маске, если маска). Короче надо серты ловить и парсить на лету, интересная задачка