Linux是否可以实现查内网某ip最大流量

独孤九贱

原帖由 platinum 于 2007-1-17 17:30 发表于 4楼  
同意，iptraf 是好东西，bandwidthd 也确实不错
还可以参考 ntop

偶在在FORWARD挂一个Hook ，对来源地址进行统计，内核级的，比起其它旁路级的要性能高很多……

独孤九贱

原帖由 platinum 于 2007-1-19 21:12 发表于 10楼  

九贱可否借这个机会教教大家具体实现啊，比如一些小技巧，数据结构、hash 之类的（不知道会不会用到，随便说的 ）

其实很简单，
1、定义一个“内网接口”，凡是从这个口出的数据，就是内网上行，凡是从这个口进的，就是内网上行，
2、定义一个结构，描述主机，可以类似如下定义：
struct host{
    unsigned long  ip;
    unsigned long long rx;
    unsigned long long tx;
};

3、对应提取每个包的来源或目的IP地址，查hash表，加入或累计对应元素就可以了，对于只有一个C网的网段，只要查一次hash表就可以定位到；
4、写一个用户态工具，读取统计值；

这比起许多利用libpcap库的旁路拷贝统计来说，节省了许多开销，我试过在大流量下，仍表现良好

独孤九贱

原帖由 platinum 于 2007-2-6 13:09 发表于 24楼  
感觉还是 netfilter hook 的效率高，非常高，如果只做统计分析的话几乎看不到和载入模块前有什么不同

直路肯定要比libpcap这种旁路拷贝效率来得高得多噻……Netfilter效率差我觉得主要差在连接跟踪上，一个数据包穿过Netfilter Frame，得查多少交hash表呀