книги хакеры / журнал хакер / 163_Optimized

УказываемIP-адресколлектораприустановкеfprobe

торые, через определенный промежуток (в разных реализациях свой алгоритм). Нетрудно догадаться, что Sampled NetFlow показывает не точную, а приблизительную статистику, хотя для некоторых задач этого вполне достаточно.

УСТАНАВЛИВАЕМ СЕНСОР НА LINUX

Поддержка сенсоров NetFlow сегодня реализована во многих аппаратных маршрутизаторах, прошивках DD-WRT и ОС. Например, в анонсированной недавно VMware vSphere 5 появилась поддержка NetFlow v5, предоставляющая возможность просматривать трафик между виртуальными машинами на одном или разных хостах. Отслеживая поток трафика приложений внутри виртуальной машины, админ может контролировать производительность сети и целевое использование трафика. Для Cisco активация NetFlow для передачи на коллектор 192.10.0.2:9001 очень проста:

router(config)# interface fastethernet 0/0 router(config)# ip route-cache flow router(config)# ip flow-export version 5 origin-as router(config)# ip flow-export 192.10.0.2 9001

router(config)# ip flow-cache timeout active 5

Вот далеко не все варианты NetFlow-сенсоров, при помощи которых можно собирать статистику в разных ОС:

•fprobe(fprobe.sourceforge.net)—работаетвLinux,базируетсяна libpcap,естьфоркfprobe-ulog,использующийlibipulog;

•ipt-netflow—работаетвLinuхисостоитиздвухмодулей:ядра

иiptables;

•softflowd(code.google.com/p/softflowd)—работаетвLinux/FreeBSD, поддерживаетNetFlowv1/v5/v9;

•pfflowd(mindrot.org/projects/pfflowd)—работаетвOpenBSD;

•nProbe(ntop.org/products/nprobe)—расширяемыйсенсор/коллек- торподLinux,FreeBSDиWindows,поддерживающийNetFlowv5/v9/ IPFIX;

•IPCAD(lionet.info/ipcad)—сенсордляLinux,FreeBSD,OpenBSD,Mac OSX/DarwinиSolaris,поддерживающийrawBPF-устройства,PCAP, iptablesULOG&IPQ;

•fSonar(softpiua.com/ru/products/softpi/fsonar.html)—сенсордля Windows,поддерживающийNetFlowv5/v9;

•ndsad(ndsad.sf.net)—сенсор,поддерживающийNetFlowv5для Windows(winpcap),Linux(libpcap),MacOSXиFreeBSD;

•PRTGNetworkMonitor(paessler.com/netflow_monitoring)—про- приетарное«всеводном»решениедлямониторингаWindowsотXP

ивыше(десятьсенсоровбесплатно).

Если в сети уже есть работающий маршрутизатор, выдающий NetFlow, эту часть статьи можно пропустить. Мы же предположим, что у нас настроен роутер на Ubuntu/Debian и мы хотим собирать статистику.

$ sudo apt-get install fprobe

В процессе установки пакета будут заданы вопросы относительно интерфейса для сбора статистики и хоста, на котором развернут коллектор (нужно указать IP-адрес и номер порта). После чего стартует демон с указанными настройками. В последующем все параметры можно изменить в файле /etc/default/fprobe:

$ sudo nano /etc/default/fprobe

#Для всех интерфейсов пишем "any" INTERFACE="eth0" FLOW_COLLECTOR="192.10.0.2:9001"

#Дополнительные аргументы; так, "-f" позволяет указать

#специфические условия выборки трафика; наиболее популярным

#является отбор только IP-пакетов, то есть "-fip"

OTHER_ARGS="-fip"

Аргументов у fprobe очень много, в высоконагруженных сетях, возможно, потребуется корректировка приоритета (установкой r больше 0), буфера ядра для захвата пакетов (B и q), задержки между отправками (t). Теперь при помощи tcpdump можно просмотреть отправляемые на удаленную систему пакеты.

$ sudo tcpdump -n udp port 9001

Для удобства можно использовать фильтр, для отлова только NetFlow: «-T cnfp». Так же просто настраивается и Softflowd. Все, информация пошла, но пока в «никуда», самое время начать ее собирать.

КОЛЛЕКТОР

Выбор связки коллектор + анализатор — дело ответственное и зависит от необходимости в дальнейшей обработке данных и их визуализации. Самым известным коллектором является пакет flow-tools, разрабатываемый Марком Фуллмером и содержащий массу полезных инструментов, с помощью которых можно обрабатывать собранную информацию. Вместе с flow-tools можно использовать несколько анализаторов — Perl-скрипт FlowScan (caida.org/tools/utilities/flowscan), обрабатывающий полученные

flow-capture (коллектор NetFlow из пакета flow-tools) данные и сохраняющий итог в базе данных RRD. Для визуализации FlowScan может использовать дополнительные модули отчетов: CUFlow, CampusIP, SubNetIO. Это очень интересный вариант, но мне больше нравится nfdump (nfdump.sf.net), поддерживающий NetFlow v1/v5/ v7/v9 и IPFIX (пока бета), для просмотра собранной им информации используют фронтенд NfSen (Netflow Sensor, nfsen.sf.net). Причем доступна и NSEL-версия nfdump, поддерживающая дополнительные записи Cisco ASA. Сам nfdump представляет собой пакет из нескольких утилит: nfcapd (демон, читающий поток и сохраняющий информацию в файл), nfdump (считывает данные из файла и выводит статистику), nfprofile (считывает данные из файла и применяет к ним фильтры, информацию сохраняет в другой файл для

СмотримNetFlow-трафикприпомощиtcpdump

дальнейшего использования), nfreplay (считывает данные из файла и отправляет по сети на удаленную систему/коллектор), nfclean.pl (удаляет старые данные), ft2nfdump (конвертер данных flow-tools в формат nfdump). По умолчанию демон nfcapd каждые пять минут создает файл с новым именем (включает метку времени, чтобы не повторяться), который затем анализируется nfdump. Нужный пакет есть в репозитории, поэтому установка nfdump в Ubuntu/Debian очень проста:

$ sudo apt-get install nfdump

Работу nfcapd и nfdump в большинстве случаев настраивают через NfSen. Именно поэтому все демоны пакета nfdump по умолчанию не стартуют, в чем легко убедиться, заглянув в /etc/default/nfdump:

$ cat /etc/default/nfdump

# nfcapd is controlled by nfsen

nfcapd_start=no

Но для начала удостоверимся, что все работает. Запускаем демон для сбора nfcapd-статистики, в качестве параметра указываем каталог для хранения файлов и UDP-порт:

$ sudo nfcapd -w -D -l /var/cache/nfdump/router1 -p 9001

Если адресов несколько, а нужно выбрать один, указываем нужный при помощи '-b'. Параметр '-R host/port' позволяет сразу переправить NetFlow-пакеты на другой узел. При помощи параметра '-p' можно считывать данные не из сети, а из pcap-файла.

Чтобы прочитать и вывести таблицу со всеми собранными данными при помощи nfdump, достаточно указать каталог:

$ sudo nfdump -R var/cache/nfdump/router1

Date flow start Duration Proto Src IP Addr:Port Dst IP

Addr:Port Packets Bytes Flows

2012-07-05 10:09:12.112 0.001 UDP 22.22.22.22:1234 ->

192.10.19.10:22 1 400 1

На первый взгляд, информации немного, но это если не знать, что nfdump умеет выводить информацию в четырех разных форматах (line, long, extended и custom), а по умолчанию используется самый «лаконичный» line. Чтобы изменить формат, следует использовать параметр '-o'. Утилита nfdump имеет большое количество параметров и фильтров, позволяющих отобрать нужную информацию, все это описано в «man nfdump», поэтому подробно останавливаться здесь не будем.

Статистика,собраннаяNfSen

130

ПЛАГИНЫДЛЯNFSEN

Возможности NfSen расширяются при помощи плагинов (sf.net/apps/ trac/nfsen-plugins). Для установки плагина его нужно распаковать

в подкаталог plugins, а затем подключить в nfsen.conf, взяв за пример имеющиеся там шаблоны.

НАСТРАИВАЕМ NFSEN

Переходим к настройке NfSen. В репозиториях нужного пакета нет, поэтому установку придется производить вручную. Само приложение написано на PHP и Perl, для построения графиков используется RRDtool. Для его работы потребуется стандартный LAMP-сервер

и Perl-модули Mail::Header и Mail::Internet. Устанавливаем приложения и библиотеки для удовлетворения зависимостей:

$ sudo apt-get install apache2 libapache2-mod-php5 \

php5-common libmailtools-perl rrdtool librrds-perl

Скачиваем и распаковываем последнюю версию.

$ wget -c http://goo.gl/CYk4s

$ tar xzvf nfsen-1.3.6p1.tar.gz

$ cd nfsen-1.3.6p1

$ cp etc/nfsen-dist.conf etc/nfsen.conf

Правим шаблон конфигурационного файла. В начале файла идет много переменных, указывающих на каталоги установки, в большинстве случаев нет необходимости их изменять.

$ nano etc/nfsen.conf

$BASEDIR = "/usr/nfsen";

#Каталог, в который будут установлены скрипты $HTMLDIR = "/var/www/nfsen/";

#Каталог, в который установлены утилиты пакета nfdump $PREFIX = '/usr/bin';

#Пользователь и группа, от имени которых запускается веб-сервер $USER = "www-data";

$WWWUSER = "www-data"; $WWWGROUP = "www-data";

#Источники, можно указать несколько, для выделения разным

#цветом используется параметр "col"

Графики,выдаваемыеFlowscan

ХАКЕР 08 /163/ 2012

Применяемфильтры,чтобыNfSenпредоставилнужнуюинформацию

%sources = (

'ROUTER1' => { 'port' => '9001',

'col' => '#0000ff', 'type' => 'netflow' },

);

$MAIL_FROM = 'admin@example.com';

$SMTP_SERVER = 'smtp.example.com';

Кроме этого, в файле можно установить буфер для nfcapd, расширения для каждого коллектора, переопределить каталоги для сбора данных и многое другое. Ставим.

$ sudo ./install.pl etc/nfsen.conf

Скрипт проверит наличие необходимых Perl-модулей, после чего скопирует компоненты по указанным в nfsen.conf каталогам. Запускаем nfsen, он активирует процессы nfcapd:

$ sudo /usr/nfsen/bin/nfsen start

Обеспечиваем автозагрузку:

$ sudo ln -s /usr/nfsen/bin/nfsen /etc/init.d/nfsen

НастройкипрофилявNfSen

$ sudo update-rc.d nfsen defaults 20

Создаем настройки для Apache:

$ sudo nano /etc/apache2/conf.d/nfsen.conf

<Directory /var/www/nfsen/>

DirectoryIndex nfsen.php

</Directory>

Теперь набираем в браузере адрес http://имя_сервера/nfsen/nfsen. php и наслаждаемся сгенерированными графиками и собранной статистикой. Интерфейс позволяет при помощи фильтров и запросов отобрать информацию только по определенным протоколам, IP-адресам, портам и так далее. По умолчанию используется для всего профиля «any», для вывода графиков «proto TCP». Например, чтобы отследить только SSH-трафик, пишем «src or dst port 22», при необходимости можно указать IP и прочие параметры. Изначально используется только один профиль — Live, в него записываются данные со всех источников, указанных в nfsen.conf. Чтобы построить графики для различных источников или критериев, следует создать соответствующие профили (Live ÆNew Profile). Вот мы и построили систему статистики, которая будет обеспечивать тебя полноценной информацией по расходу трафика. z

WWW

•СтраницаCisco, посвященнаяNetFlow: goo.gl/vM2l7;

•сайтсенсораFreeBSD Softflowd:code.google. com/p/softflowd;

•сайтсенсораOpenBSDpfflowd:mindrot. org/projects/pfflowd;

•сайтпроектаnfdump: nfdump.sf.net;

•сайтфронтенда

кnfdumpNfSen:nfsen. sf.net.

WARNING

SampledNetFlow показываетнеточную, априблизительную статистику.

INFO

Насегоднянаиболее используемыеверсии NetFlow—это5и9.

Дляотправкикопий UDPпонескольким адресамподойдет утилитаsamplicator (code.google.com/p/ samplicator).

Некоторые коллекторыпо номерампакетов могутопределить, чтоинформация пропущена, иучитыватьэто

всвоихрасчетах.

BEQUICK ORBEDEAD

СПИСОКТЕСТИРУЕМОГО ОБОРУДОВАНИЯ

•CorsairCSSD-F120GBGT-BK

•CorsairCSSD-P128GBP-BK

•IntelSSDSC2CW240A3K5

•KINGMAXKM240GSMP35

•KingstonSH100S3/120G

•OCZVTX3-25SAT3-240G

•PlextorPX-256M3P

•PNYP-SSD2S120G3-BLK

•VerbatimSSDSATAIII

ТЕСТИРОВАНИЕ

ТВЕРДОТЕЛЬНЫХ

НАКОПИТЕЛЕЙ С ИНТЕРФЕЙСОМ SATA 3.0

вердотельные накопители, к сожале-

Тнию, еще не стали столь доступными, как того хотелось бы. Пока возникает

вопрос, что дешевле: купить 480 Гб SSD для своего старого ноутбука или уж сразу новый лэптоп за те же деньги? Сегодня мы протестируем накопители объемом от 120 до 256 Гб с не такими кусающимися ценниками.

ВСЕ ЛЮБЯТ SANDFORCE

Несмотря на пока сравнительно высокую стоимость за гигабайт, твердотельные накопители продолжают, что называется, идти

вмассы. Отчасти этому «помогло» наводнение в Таиланде, нанесшее серьезный урон производителям HDD, продукция которых резко взлетела в цене. Правда, даже наводнению не удалось уравнять цены на SSD и обычные жесткие диски. Нам же пока остается верить в конкуренцию, ведь сейчас на рынке «твердотельников» она очень высока: только ленивый не выпустил одну-две линейки SSD. И подавляющее большинство — на одном и том же контроллере небезызвестной калифорнийской компании. Нет, речь идет не об Apple и не о NVIDIA, а о SandForce, которую, кстати,

впрошлом году приобрела другая компания из США — LSI Corporation. Так вот, благодаря инженерам из SandForce, которые сконструировали контроллеры, способные выжимать очень многое даже из недорогой и «медленной» NAND-памяти, мы можем наблюдать огромное количество сверхскоростных SSD от нескольких десятков самых разных производителей. В нашем сегодняшнем тесте только два накопителя из девяти основаны на контроллере от Marvell, остальные — сплошь на SandForce SF-2281. И даже Intel не преминул в этот раз воспользоваться решением калифорнийцев, взяв на вооружение их технологии в недавно вышедшей линейке Intel SSD 520 Series.

НЕ ВСЕ ТО ЗОЛОТО

Использование одного и того же контроллера в столь большом количестве продуктов, несомненно, на руку потребителю, так как производителям остается лишь снижать цены, дабы обойти конкурентов. По крайней мере, так ситуация выглядит сперва. Но вот незадача — на какой накопитель ни глянь, всюду почти одинаковые характеристики: скорость последовательного чтения/записи переваливает за 500 Мб/с, везде SandForce SF-2281, — а вот цены разнятся чуть ли не в полтора раза. Так в чем же дело? Секрет, который редко встретишь в официальных характеристиках того или иного SSD, заключается в используемой флеш-памяти, модификации которой отличаются по пропускной способности в разы. В недорогих накопителях используется медленная асинхронная память, в более продвинутых — синхронная либо альтернативный вариант — Toggle-mode DDR NAND. Несмотря на большую разницу в их производительности, твердотельные накопители разных ценовых категорий с контроллерами от SandForce показывают почти одинаковую скорость последовательного чтения/записи — за это они и пользуются такой популярностью у все возрастающего числа производителей SSD. Так что же вообще тогда отличает недорогие накопители от их топовых собратьев? Для ответа на этот вопрос необходимо коснуться особенности упомянутых контроллеров калифорнийской компании. Она заключается в сжатии данных на лету, что значительно уменьшает обращение к флеш-памяти. Это позволяет даже при работе с не очень качественной и медленной памятью добиваться тех заветных пиковых 5хх/5хх Мб/с, которые маркетологи указывают на рекламных проспектах и коробках с SSD. Когда же дело доходит до несжимаемых или плохо сжимаемых файлов, вроде архивов, JPG, MP3 и тому подобных, картина наконец проясняется. При последовательном чтении/записи сжимаемых данных разница в скорости между дорогими и дешевыми SSD мало заметна, но те же чтение/ запись с несжимаемыми данными четко разделяют лидеров и отстающих. Другими словами, производительность накопителей с менее «расторопной» памятью при работе с такими данными падает иногда чуть ли не вдвое. Конечно, это не единственный фактор ценообра-

зования. На себестоимость SSD также влияет техпроцесс, по которому изготовлена флешпамять. Чипы 2х нм новее и дешевле в производстве, но чаще всего имеют меньше циклов перезаписи, нежели чипы, выполненные по 3х-нм технологии. Свое берет и прошивка — далеко не каждый производитель, кстати, вносит изменения и улучшения в изначальный микрокод контроллеров SandForce.

МЕТОДИКА ТЕСТИРОВАНИЯ

Мы подвергли твердотельные накопители нескольким тестам (их результаты ты можешь увидеть на графиках в конце статьи). Наши SSD вытерпели от бенчмарка PCMark Vantage (подтест «HDD») самые разнообразные нагрузки, имитирующие реальные. В графиках мы отразили как общий результат в баллах, так и итоги для каждого вида нагрузки в мегабайтах в секунду. С помощью синтетического теста ATTO Disk Benchmark мы увидели то, что каждому пользователю SSD хотелось бы лицезреть каждый день в действительности, — те заветные пять сотен мегабайт в секунду последовательного чтения и записи, ради которых все больше людей отказываются от установки ОС на обычные HDD. Также мы замеряли скорость последовательного (с блоками 128 Кб) и случайного (с блоками 4 Кб) чтения и записи с помощью старого доброго бенчмарка Iometer. Он же использовался для нагрузки накопителей паттернами, имитирующими работу файлового сервера, рабочей станции и тому подобного. Напоследок отметим, что накопители объемом 240 Гб имеют небольшое преимущество в производительности над собратьями с памятью на 120 Гб в связи с особенностями работы контроллера SandForce. Это нужно помнить при сопоставлении результатов.

ТЕСТОВЫЙСТЕНД

Процессор: IntelCorei7-3960X,3300МГц

Материнскаяплата:ASUSP9X79PRO Оперативнаяпамять: 4¯4Гб,G.SKILLF3- 1700CL9-4GBZH,DDR31600МГц Видеокарта:SapphireRadeonHD3450 Накопитель:CorsairCSSD-F120GB2-BRKT Блокпитания:CorsairCP-9020006

ОС:Windows7Максимальная,64-разрядная

CORSAIRCSSD-

F120GBGT-BK

orsair представил три линейки SSD с интерфей-

Ссом SATA 3.0: простенькие накопители Force Series 3, высокопроизводительные Perfomance

Series Pro и промежуточный вариант — Force Series GT. Наш первый «подопытный» относится к промежуточному варианту. Его корпус покрашен в сочный красный цвет, который как бы намекает, что мы имеем дело не с утомительно медленной мямлей. К нему прилагается кронштейн для отсека 3,5 дюйма — не во всех корпусах можно найти отдельные слоты под 2,5-дюймовые устройства. Основу Corsair CSSD-F120GBGT-BK составляет контроллер SandForce SF-2281 и быстрая синхронная память, выполненная по 25-нм техпроцессу. Этот тандем показал

внаших тестах очень хорошие результаты, в частности продемонстрировал лучшую производительность

втесте последовательного чтения/записи в Iometer, обогнав даже детище Intel. При этом он стоит всего на тысячу «деревянных» дороже, чем самый дешевый SSD на 120 Гб, а также «хвастается» двумя заявленными

миллионами часов наработки на отказ. Радует и невысокая условная стоимость за гигабайт, которая на момент написания статьи равняется примерно 1,7 доллара.

6000

РУБ.

8800

РУБ.

KINGMAXKM240GSMP35

омпания KINGMAX ориентируется на производство памяти

Кво всех ее проявлениях: флешки, оперативка, внешние HDD, и, само собой, в этот список также входят твердотельные

накопители. Причем представлены не только привычные нам SSD

вформ-факторе 2,5 дюйма, но также формата mSATA и Half-Slim. KINGMAX KM240GSMP35 — выходец из линейки наиболее производительных накопителей азиатской компании. Несмотря на этот факт,

вSSD установлена память асинхронного типа. Контроллер SandForce SF-2281 «выжимает» из нее достаточно много, но в целом по результатам тестов KINGMAX KM240GSMP35 выступает середнячком. Достоверно узнать, какой техпроцесс использовался при изготовлении памяти, нам не удалось, но, судя по заявленному времени работы, ответ напрашивается сам — 25 нм. Вопрос комплектации производитель решил наиболее мудрым способом: предоставил покупателю право выбрать самому, нужна она ему или нет. Покупая KINGMAX SMP35 Client (тот, что мы протестировали), ты получаешь, как и в случае с Intel SSDSC2CW240A3K5, переходник с Molex и SATA-кабель для подключения к контроллеру материнской платы, а также кронштейн и кратенький мануал. Если же встретишь KINGMAX SMP32 Client, то перед тобой ровно такой же накопитель, просто в облегченной комплектации.

ТЕХНИЧЕСКИЕ

ХАРАКТЕРИСТИКИ

VERBATIMSSDSATAIII

омпания Verbatim на слуху у большинства пользова- К телей ПК, ведь она изготовляет самые незаменимые

вещи — всевозможные «расходные материалы». Среди них наушники, коврики для мышей, оптические диски, флешки и даже с недавних пор осветительные приборы. Есть в ассортименте и устройства посолиднее: внешние жесткие диски и SSD. Последний герой нашего теста относится к обычным 2,5-дюймовым накопителям. Он имеет простой дизайн без претензий и результаты в тестах показывает также не заоблачные, но вселяет уверенность заявленными 2 миллионами часов «продолжительности жизни». Комплектация у этого SSD скудная — только мануал. Но возможно, когда-нибудь для российского рынка появится и набор для переноса ОС, который был у накопителей Verbatim с интерфейсом SATA II: корпус с USB, специальный софт и пара кабелей. Verbatim SSD SATA III наверняка будет хорошо покупаться неискушенными пользователями благодаря узнаваемому имени.

5200

РУБ.

ВЫВОДЫ

В итоге награду «Лучшая покупка» получил твердотельный накопитель Corsair CSSD-F120GBGT-BK — накопитель из не самой «навороченной» линейки, тем не менее показавший очень хорошую производительность за сравнительно небольшую стоимость. «Выбор редакции» получает самый-самый производительный SSD, к тому же с богатой комплектацией — Intel SSDSC2CW240A3K5. Напоследок нужно сказать, что совсем явных аутсайдеров среди твердотльных накопителей мы не выявили, а значит, все из участвующих в тесте фирм вкладывают деньги не только в рекламу, но все-таки и в качество своих продуктов. z

PCMARK VANTAGE, БАЛЛЫ

Corsair CSSD-F120GBGT-BK

Intel SSDSC2CW240A3K5

KINGMAX KM240GSMP35

Kingston SH100S3/120G

OCZ VTX3-25SAT3-240G

Verbatim 47378

4600048000500005200054000560005800060000

ОбщийбаллбенчмаркаPCMarkVantageпростоияснорасставляетвсехпосвоимместам

IOMETER: СЛУЧАЙНОЕ ЧТЕНИЕ/ ЗАПИСЬ (4 КБ), МБ/С

Corsair CSSD-F120GBGT-BK

Intel SSDSC2CW240A3K5

KINGMAX KM240GSMP35

Kingston SH100S3/120G

OCZ VTX3-25SAT3-240G

Случайноечтениеизапись—Marvellвырываетсявперед

PCMARK VANTAGE, МБ/С

Corsair CSSD-F120GBGT-BK

Intel SSDSC2CW240A3K5

KINGMAX KM240GSMP35

Kingston SH100S3/120G

OCZ VTX3-25SAT3-240G

Verbatim 47378

IOMETER: ПОСЛЕДОВАТЕЛЬНОЕ ЧТЕНИЕ/ЗАПИСЬ (128 КБ), МБ/С

Corsair CSSD-F120GBGT-BK

Intel SSDSC2CW240A3K5

KINGMAX KM240GSMP35

Kingston SH100S3/120G

OCZ VTX3-25SAT3-240G

Verbatim 47378

Чтение

Запись

300 320 340 360 380 400

ПоследовательноечтениеизаписьвIometer—Marvellпроигрывает