Accounting für IPSec

[Avalanche]

Hallo,

ich möchte gerne den Traffic, der über das VPN an eine Gegenstelle geht, bei einem 1781AW abrufen. Sind das diese beiden Werte über SNMP (d.h. Interface .70)?

IF-MIB::ifHCOutOctets.70
IF-MIB::ifHCInOctets.70

Eine Aufschlüsselung nach Clients ist für mich nicht wichtig.

Kann ich unter LCOS ähnlich wie unter Linux Firewall-Regeln zum Zählen von Traffic verwenden?

[backslash]

Hi Avalanche

ich möchte gerne den Traffic, der über das VPN an eine Gegenstelle geht, bei einem 1781AW abrufen.

das kannst du grob über das Accounting. Das schlüsselt dir auf, welcher Host im LAN wieviel Traffic über welche Gegenstelle (da findest du dann auch die VPN-Gegenstellen) gemacht hat.

Sind das diese beiden Werte über SNMP (d.h. Interface .70)?

IF-MIB::ifHCOutOctets.70
IF-MIB::ifHCInOctets.70

nein. Die MIB2 listet nur Traffic auf physikalischen Verbindungen auf (vulgo DSL-Ports), nicht aber den, der über VPN-Verbindungen lief.

Kann ich unter LCOS ähnlich wie unter Linux Firewall-Regeln zum Zählen von Traffic verwenden?

Du kannst dir sicherlich Regeln erstellen, die nach übertragen von x kByte eine Syslog-Meldung schicken und das hinterher mit einem selbst gestrickten Tool auswerten, aber das wird recht ungenau, denn wenn die Session beendet wird, bevor die Schwelle überschritten wurde, dann hast du auch nichts im Log...

Gruß
Backslash

[Avalanche]

Hallo,

danke für die schnelle Antwort. Schade dass die Lancoms da nicht mehr können. Unter Linux kann man im Accounting für jede iptables Regel sehen, wie viele Pakete über die Regel gegangen sind und wieviel Bytes dadurch angefallen sind. Schade dass die Lancoms da etwas flexibler sind.

Tauchen die Geräte, die über den VPN-Einwahlpunkt ins Internet gehen in der Übersicht dann auch mit einer Gegenstelle Internet auf?

[backslash]

Hi Avalanche,

Tauchen die Geräte, die über den VPN-Einwahlpunkt ins Internet gehen in der Übersicht dann auch mit einer Gegenstelle Internet auf?

Ja.. in dem Fall stünde in der Accounting-tabelle unter "Username" der VPN-Client und unter "Peer" die Internetverbindung...

Gruß
Backslash

[Avalanche]

Hi,

ich muss doch nochmal nachfragen: entweder ich verstehe das falsch oder es funktioniert nicht richtig:

Ich habe den täglichen Snapshot aktiviert:

Code: Alles auswählen

root@ipsec:/Setup/Accounting
> ls Time-Snapshot/

Index  Active   Type           Day    DayOfWeek   Hour    Minute
----------------------------------------------------------------
1      Yes      daily          0      unknown     23      55

Code: Alles auswählen

root@ipsec:/Setup/Accounting
> ls

Operating               VALUE:   Yes
Save-to-Flashrom        VALUE:   Yes
Discriminator           VALUE:   MAC-Address
Sort-by                 VALUE:   Time

Ich verstehe das so, dass einmal am Tag ein Snapshot der Accounting Daten angelegt wird und unter /Status/Accounting/Time-Last-Snapshot dann der Zeitpunkt vermerkt wird bzw. unter ..../Last-Snapshot die Werte des letzten Snapshots.

Ich finde dort allerdings unter beiden Knoten keine Werte:

Code: Alles auswählen

> ls /Status/Accounting/Time-Last-Snapshot/

System-time          
---------------------

Wo ist der Denkfehler?

[Jirka]

Hallo Backslash,

das kannst du grob über das Accounting. Das schlüsselt dir auf, welcher Host im LAN wieviel Traffic über welche Gegenstelle (da findest du dann auch die VPN-Gegenstellen) gemacht hat.

leider geht die Spalte Gegenstelle aber nicht an den Syslog-Server raus...

Hallo Avalanche,

Wo ist der Denkfehler?

Vielleicht wird nur lokales Routing gemacht? Hast Du mal geschaut, ob unter Status -> Accounting -> Aktuelle User oder Accounting-Liste was steht?

Viele Grüße,
Jirka

[Avalanche]

Hi,

danke für den Hinweis. Unter diesem Knoten gibt es bei mir eine Traffic-Tabelle mit Werten. Es wird anscheinend nur nie ein Snapshot daraus erzeugt.

[Jirka]

Hallo Avalanche,

ok, hat denn der LANCOM-Router eine aktuelle Zeit?

Viele Grüße,
Jirka

[Avalanche]

Ja, die Zeit ist korrekt und kommt auch per Zeitserver.

[Jirka]

Hallo Avalanche,

hmm, das sieht dann leider nach einem Bug aus... täglich funktioniert wohl nicht, hat anscheinend noch keiner gemerkt.

Viele Grüße,
Jirka

[Avalanche]

Danke für die Hilfe!

[COMCARGRU]

By the way:

auf das Accouting im Lancom setze ich keinen Pfifferling! Wie ich vor kurzem feststellen durfte, haben da doch mehrere User innerhalb von 6 Monaten locker das ganze Internet heruntergeladen. Soviel das selbst beim routen der Daten nach /dev/null nen Buffer Overflow hätte erscheinen müssen.

Ich habe zwar nur eine 100 MBit synchrone Leitung, aber selbst wenn die nur einem der User komplett 24/7 zu 100% alleine zur Verfügung gestanden hätte, wären die Daten im Accounting gerade so möglich gewessen. - Dann frage ich mich aber, wie Zeitgleich zwei/drei weitere User auch auf astronomische Werte gelangen konnten... - denn die hätten dann lediglich 0%-Kapazität nutzen können.


Gruß
CG

[Jirka]

Kein Interesse mehr?!

Also wenn man es mit LANconfig konfiguriert, funktioniert es anschließend nicht. Hier ist dann vermutlich ein Geräteneustart erforderlich. Könntest Du das mal testen?

Wenn man es auf der Konsole konfiguriert, funktioniert es sofort, da vermutlich im selben Moment ein entsprechender Cron-Job im Hintergrund angelegt wird.

Viele Grüße,
Jirka

[Avalanche]

Doch, aber Abendessen

Das werde ich probieren. Neustart ist allerdings momentan nicht möglich. Ich werde berichten...

Mit welchen Kommandos hast Du das auf der Kommandozeile angelegt?

[Jirka]

Hallo Avalanche,

Mit welchen Kommandos hast Du das auf der Kommandozeile angelegt?

Hä? Du warst doch oben genau an der richtigen Stelle in der Konsole?! Folgender Befehl für täglich 23:55 Uhr (ich würde ja 0:00 Uhr bevorzugen, aber oben hattest Du 23:55 Uhr):

Code: Alles auswählen

set /set/acc/time/1 Yes daily 0 0 23 55

Hallo COMCARGRU,

auf das Accouting im Lancom setze ich keinen Pfifferling!

Nun ja, also da mal eben der Traffic vom Gerät selber (kann man sicherlich vernachlässigen), vom gesamten VoIP-Teil bei den VoIP-Routern und von allem, was über den Content-Filter geht, unter den Tisch fällt, ist das für mich auch nur eine grobe Orientierung. Aber man weiß so wenigstens annähernd was durch welchen Client verursacht wurde und sieht überhaupt, dass Clients da sind...

Wie ich vor kurzem feststellen durfte, haben da doch mehrere User innerhalb von 6 Monaten locker das ganze Internet heruntergeladen. Soviel das selbst beim routen der Daten nach /dev/null nen Buffer Overflow hätte erscheinen müssen.

Ich habe zwar nur eine 100 MBit synchrone Leitung, aber selbst wenn die nur einem der User komplett 24/7 zu 100% alleine zur Verfügung gestanden hätte, wären die Daten im Accounting gerade so möglich gewesen. - Dann frage ich mich aber, wie Zeitgleich zwei/drei weitere User auch auf astronomische Werte gelangen konnten... - denn die hätten dann lediglich 0%-Kapazität nutzen können.

Das kann ich nun allerdings in der Theorie nicht nachvollziehen. Wo hast Du diese Werte abgelesen?! Im LANmonitor? Im Gerät selber (Konsole, WEBconfig)? Oder per SNMP? Und was hast Du konkret abgelesen?

Nehmen wir mal an, dass man bei einer 100 MBit/s-Verbindung 10.000 kByte/s downloaden kann (die Angaben in dem Accounting-Modul sind in kByte/s). Dann ergibt sich:
10.000 kByte/s
600.000 kByte/min
36.000.000 kByte/h
864.000.000 kByte/d
315.360.000.000 kByte/a

Und somit 157.680.000.000 kByte für 6 Monate...

Meines Wissens haben die Zähler aber einen Überlauf bei 2.147.483.647 kByte (also ungefähr 2.147 GB). Demnach könntest Du also im Gerät selber nie und nimmer 157.680.000.000 abgelesen haben - und auch nicht 157.680.000.000/6. Also sehr komisch...

Wenn Du verhindern willst, dass Dir bei einer 100 MBit/s-Leitung Traffic durch Clients mit Downloadrate rund um die Uhr am Anschlag entgeht, dann müsstest Du somit aus Sicherheitsgründen alle 2 Tage ein Accounting-Snapshot machen und das auch alle 2 Tage aus dem Router auslesen.

Viele Grüße,
Jirka