ntop: Quais downloads HTTP (URLs) causaram o tráfego?

Question

Meu servidor causa muito tráfego, por isso instalei o ntop para monitorá-lo.

No resumo - > Tráfego na tabela Distribuição Global do Protocolo TCP / UDP Eu posso ver que o tráfego é periodicamente causado pelo HTTP.

No Todos os protocolos - > Tráfego página na primeira linha, há o tráfego (94,4%). Mas a primeira coluna (Host) mostra meu próprio servidor. Por que isso acontece?

Ao clicar lá, posso ver o tráfego na tabela Estatísticas do tráfego do host . Está tudo no Tot. Coluna Traffic Rcvd . Por isso, acho que uma das minhas aplicações é baixar periodicamente algo grande ou muito.

Mas como descobrir o que foi baixado? Quais são os URLs baixados ou pelo menos os hosts que causaram mais tráfego?

    

Answer 1

Corrigir o problema sistemático:
Ter seus logs de aplicativo que tornam as solicitações desconhecidas e em todo o lugar é um problema. Isso vai te incomodar de novo e de novo, então eu reservaria algum tempo para resolver esse problema. Encontre alguma maneira de indexar ou agregar. Este é um projeto de problema maior que você deve levantar.

O problema em questão:
Para o problema em questão, eu recomendaria o wireshark / tcpdump. Depois de ter uma captura de tráfego, você pode usar todos os tipos de técnicas para tentar encontrá-la. Em wireshark você pode usar "estatísticas / conversas", classificar por bytes e, em seguida, detalhar as capturas a partir daí. O Cascade Pilot não-livre da Riverbed tem a visualização "Web Bandwidth by Object" para capturas que seriam bom nisso - você poderia solicitar um julgamento.

Se você não está familiarizado com o wireshark, agora é um bom momento para aprender. É uma ferramenta que a maioria dos administradores usa regularmente.

Se você sabe que o servidor está usando a largura de banda e é um servidor Linux, tente Nethogs ( nethogs ) para identificar o processo usando a largura de banda.

    

Answer 2

O Ntop é uma ferramenta de interface de rede - mostra o tráfego passando por várias portas e protocolos, mas é onde termina. O que você precisa ver agora é direcionar o aplicativo que está processando esse tráfego, neste caso, o Apache.

A maneira mais fácil de fazer isso é instalar uma ferramenta de uso da web, como o webalizer (há muitos outros, awstats foi o melhor de um tempo atrás, não sei o que é rei agora. Isso irá percorrer seus logs e gerar páginas de estatísticas que você pode usar para ver para onde o tráfego estava indo, de onde vinha e quem estava fazendo isso. Por exemplo .

    

Answer 3

Você deve examinar o log de acesso de seus servidores da Web, no qual todas as solicitações atendidas são listadas. Você pode filtrar o endereço IP de seus servidores da Web e host local e verificar os arquivos mais solicitados. Existem várias ferramentas para isso, mas isso depende do software que você está usando.