Сбор дампа трафика Ревизора средствами Carbon Reductor 8

Ключ
Эта строка удалена.
Это слово было удалено. Это слово было добавлено.
Эта строка добавлена.

Изменения (7)

просмотр истории страницы
*Устанавливаем wireshark*


{panel}
yum install \-y wireshark
{panel}

*Включаем сбор дампов по cron*

...

Где
* 1.1.1.1 - IP-адрес Ревизора/Carbon Reductor Satellite;
* eth1 - интерфейс, принимающий зеркало;
* 1.1.1.1 - IP-адрес Ревизора/Carbon Reductor Satellite (необходимо указать IP Вашего Ревизора);
* eth1 - интерфейс, принимающий зеркало (необходимо указать интерфейс, принимающий зеркало на Вашем сервере);
* 3600 - время сбора дампа в секундах;
* 1 - тип трафика (0 - весь трафик, 1 только http/https/dns).
...
В левой колонке видим tcp-stream с  IP-адресом,который указан в отчете АС "Ревизора" и время совпадает, а именно {color:#000000}{*}54.236.109.144{*}{color}{color:#000000}, следовательно наш tcp-stream{color} 4944.

Также возможен случай, когда в сервер с Carbon Reductor не попал GET-запрос, тогда стоит искать по ip-адресу ресурса, который всегда фигурирует в файле отчёта агента:

*2. Сортируем дамп по полю tcp-stream*
{panel}
\# tshark \-T fields \-e tcp.stream \-e frame.time \-e ip.src \-e ip.dst \-e \_ws.col.Info \-e http.host \-r /home/user/dump/duplex.pcap \| grep "52.0.182.227"
{panel}

Признаком того, что проблема с отсутствием GET-запроса в конкретном стриме - наличие пакета, который tshark пометит как +"TCP Previous segment not captured"+

Проблема в таком случае +в копировании трафика для зеркала+ или +в его доставке+ (где-то в сети на пути прохождения трафика есть "узкое" место) до Carbon Reductor.


*2. Смотрим в дампе конкретный стрим, который мы нашли ранее:*

{panel}
\# tshark \-R "tcp.stream eq 4944" \-2 \-T fields \-e frame.time \-e frame.number \-e ip.src \-e ip.dst \-e \_ws.col.Info \-e http.host \-r /home/user/dump/duplex.pcap
...