ntopng
ntopng是原始ntop的下一代版本，ntop是監(jiān)視網(wǎng)絡(luò)使用情況的網(wǎng)絡(luò)流量探測(cè)器。ntopng基于libpcap，并且以可移植的方式編寫，以便實(shí)際上可以在每個(gè)Unix平臺(tái)，MacOSX和Windows上運(yùn)行。
ntopng（是的，都是小寫字母）提供了直觀的，加密的Web用戶界面，用于瀏覽實(shí)時(shí)和歷史流量信息。
主要特點(diǎn)
根據(jù)多種標(biāo)準(zhǔn)對(duì)網(wǎng)絡(luò)流量進(jìn)行排序，包括IP地址、端口、L7協(xié)議、吞吐量、自治系統(tǒng)(AS)
顯示實(shí)時(shí)網(wǎng)絡(luò)流量和活動(dòng)主機(jī)
針對(duì)多個(gè)網(wǎng)絡(luò)指標(biāo)生成長(zhǎng)期報(bào)告，包括吞吐量和應(yīng)用協(xié)議
頂級(jí)發(fā)言人（發(fā)送者/接收者），頂級(jí)自治系統(tǒng)，頂級(jí)L7應(yīng)用
監(jiān)視并報(bào)告實(shí)時(shí)吞吐量，網(wǎng)絡(luò)和應(yīng)用程序延遲，往返時(shí)間（RTT），TCP統(tǒng)計(jì)信息（重傳，亂序數(shù)據(jù)包，數(shù)據(jù)包丟失）以及已傳輸?shù)淖止?jié)和數(shù)據(jù)包
將持久流量統(tǒng)計(jì)數(shù)據(jù)存儲(chǔ)在磁盤上，以便將來(lái)進(jìn)行探索和事后分析
在地理地圖中對(duì)主機(jī)進(jìn)行地理定位和疊加
利用nDPI和ntop深度數(shù)據(jù)包檢測(cè)（DPI）技術(shù)發(fā)現(xiàn)應(yīng)用程序協(xié)議（Facebook，YouTube，BitTorrent等）
通過(guò)利用Google和HTTP黑名單提供的特征化服務(wù)來(lái)表征HTTP流量
分析IP流量并根據(jù)源/目的對(duì)其進(jìn)行分類
報(bào)告IP協(xié)議使用情況（按協(xié)議類型分類）
生成HTML5 / AJAX網(wǎng)絡(luò)流量統(tǒng)計(jì)信息
完全支持IPv4和IPv6
完全的第2層支持(包括ARP統(tǒng)計(jì)信息)
GTP/GRE去隧道
支持MySQL，ElasticSearch和LogStash導(dǎo)出監(jiān)控?cái)?shù)據(jù)
交互式歷史瀏覽的監(jiān)控?cái)?shù)據(jù)導(dǎo)出到MySQL
警報(bào)引擎以捕獲異常和可疑主機(jī)
SNMP v1 / v2c支持和連續(xù)監(jiān)控SNMP設(shè)備
身份管理，包括VPN用戶與流量的關(guān)聯(lián)
技術(shù)規(guī)格
可用版本
ntopng有四個(gè)版本，社區(qū)，專業(yè)，企業(yè)M，企業(yè)L。社區(qū)版本是免費(fèi)使用的，并且是開源的（可以在Github上找到代碼）。專業(yè)版和企業(yè)版提供了一些額外的功能，這些功能對(duì)于中小企業(yè)或大型組織特別有用。下表中突出顯示了功能。
所有版本都應(yīng)該在“成熟的PC”(如x86機(jī)器)上使用。計(jì)劃在嵌入式設(shè)備上安裝ntopng的用戶應(yīng)考慮使用ARM可用的嵌入式軟件包。
用例
監(jiān)控物理接口
只需將物理NIC卡的接口名稱指定為
ntopng -i eth0
流采集
流采集要求ntopng與nProbe結(jié)合使用，nProbe可以充當(dāng)探測(cè)/代理。nProbe和ntopng之間的通信通過(guò)ZeroMQ進(jìn)行，ZeroMQ是一種允許ntopng與nProbe通信的發(fā)布-訂閱協(xié)議。遠(yuǎn)程nProbe從NIC物理監(jiān)視并將受監(jiān)視的流發(fā)送到ntopng的環(huán)境可以部署為：
nprobe -i eth1 –zmq tcp://192.168.1.1:5556 -T @NTOPNG@
ntopng -i tcp://192.168.1.1:5556
在此配置中，ntopng能夠在Intel Xeon E3-1230 v3 3 GHz上每秒處理超過(guò)100‘000個(gè)流量(注意：ntopng和nProbe運(yùn)行在不同的主機(jī)上，在同一主機(jī)上運(yùn)行可能會(huì)導(dǎo)致性能下降)。