Подробные логи интернет-трафика для конкретного клиента.

Подробные логи интернет-трафика для конкретного клиента., UniFi Network

breakaway

Guest

21.04.2025 12:26:00

Только что установил UCG-Ultra и смотрю аналитику по своим устройствам. Обнаружил одно устройство в моей сети, которое использует больше 100 ГБ/день. Если копнуть потребление трафика, то видно, что большая часть данных — это HTTP/SSL трафик, так что точно понять, что делает этот клиент, не очень просто. Погуглил и нашел этот пост https://community.ui.com/questions/USG-3-Traffic-logs-of-a-specific-client/34ad4ac4-3e16-498e-8682-eed330c225d9, где предлагают создать правило брандмауэра на "LAN In" с IP-адресом проблемного хоста со следующими параметрами:

* Тип: LAN In (потому что трафик входит в LAN-интерфейс роутера)
* Действие: Accept
* Перед встроенными правилами
* В разделе "Ручной": new, established, related и логирование

Затем я могу подключиться к UCG-Ultra по SSH и просмотреть /var/log/messages с помощью ID правила. Но я не вижу ничего в /var/log/messages, что соответствует моему ID правила. Что я делаю не так?

breakaway

Guest

22.04.2025 12:56:00

Ну что, точно что-то не так с тем, как UCG записывает/отчитывается об использовании этой системы. Система — Home Assistant, работает на моем Proxmox в виде виртуальной машины. Похоже, реальное использование данных намного ниже, чем показывает UCG; Proxmox и elastiflow сходятся в показаниях, так что UCG-Ultra — единственный странный элемент. Подробности ниже.

Не очень понимаю, с чего начать.

Сначала я установил elastiflow (коллектор NetFlow) и настроил UCG следующим образом.

Потом немного подождал.

Вот что показывает UCG-Ultra — почти 1 ГБ в час на загрузку + скачивание.

А вот что показывает мой elastiflow — всего около 110 МБ от HASS.

И вот что говорит Proxmox (сетевая статистика для VM HASS)

breakaway Guest	#3 22.04.2025 08:04:00 Похоже, мой UCG Ultra неправильно показывает использование. Установил коллектор NetFlow (elastiflow) и жду статистики.

travis.vitek

Guest

21.04.2025 21:46:00

Можно использовать статистику портов, чтобы увидеть, сколько трафика прошло через порт коммутатора для этого устройства. Статистика портов будет суммой трафика для всех ВМ, размещенных на этом устройстве. Если статистика портов показывает меньше байтов, чем статистика трафика, то у вас явно ошибка в отчетах где-то.

breakaway

Guest

21.04.2025 21:35:00

@travis.vitek, спасибо за это, проверю как будет время. Я в курсе, что в новой прошивке есть более продвинутые функции отслеживания. Хотя сейчас мне кажется, что UCG выдает неверные данные. Клиент, которого я подозреваю в чрезмерно высоком сетевом трафике, — это виртуальная машина, запущенная на гипервизоре. Я посмотрел статистику использования, предоставляемую самим гипервизором, и там таких данных нет. Так что не уверен, что из этого делать.

travis.vitek Guest	#6 21.04.2025 13:43:00 Неверный лог-файл. Конфигурация файрвола была изменена (наверное, год назад) на запись в /var/log/ulog/syslogemu.log. Можно отслеживать лог в реальном времени в ssh-сессии с помощью tail -F /var/log/ulog/syslogemu.log. В последних релиз-кандидатах UniFi Network появилась функциональность отслеживания и фильтрации запросов без необходимости создания пользовательских правил или доступа по ssh. Может быть, стоит держать это в голове на будущее.

Читают тему (гостей: 1)