Linux是否可以实现查内网某ip最大流量

colddawn

另外其实如果论系统自带的工具的话，tcpdump才是最好用的，什么包通过都能一目了然，通过shell截取tcpdump的结果可以实现几乎你要实现的所有要求，当然你本身对于协议栈要熟悉才成，其他的ntop之类的工具也大都是使用libpcap库实现的而已。

这里再推荐一个用户态工具ngrep，同样是使用libpcap的，功能和tcpdump几乎一样，不同的是它可以在任意字段使用正则表达式，这样就可以根据协议栈的任何字段来取你要的统计数据，可以实现高层次一些的监控功能了。

platinum

colddawn 兄，libpcap 好像效率很低啊，网络吞吐量一大的话，网卡进入混杂模式后就狂丢包

colddawn

原帖由 platinum 于 2007-2-6 12:56 发表于 22楼  
colddawn 兄，libpcap 好像效率很低啊，网络吞吐量一大的话，网卡进入混杂模式后就狂丢包

丢包是没办法避免的，但是是有办法有话的，比如对内容不感兴趣只截取包头等等。
而且丢包是随机的，也就是说不丢包时流量大的IP丢包了流量也显然比其他IP大，虽然最后的统计数据可能不准，但对于流量排名这种需求来说还是很精确的。

真的要求流量精确到字节，那还必须是实时操作系统+内核转发才行。

不同环境都有不同的玩法，只要达到自己要求即可。

platinum

感觉还是 netfilter hook 的效率高，非常高，如果只做统计分析的话几乎看不到和载入模块前有什么不同

独孤九贱

原帖由 platinum 于 2007-2-6 13:09 发表于 24楼  
感觉还是 netfilter hook 的效率高，非常高，如果只做统计分析的话几乎看不到和载入模块前有什么不同

直路肯定要比libpcap这种旁路拷贝效率来得高得多噻……Netfilter效率差我觉得主要差在连接跟踪上，一个数据包穿过Netfilter Frame，得查多少交hash表呀

扫净缘客

继续关注中。最近没办法测试ipt_ACCOUNT

希望朋友们能测试。得到有个最好的分析网络ip最大流量的方式