zdeneksvarc Vyzkoušel jsem zmíněný pmacct, konkrétně jeho část nfacctd (NetFlow collector). Pakety to agreguje podle zadaných "aggregation primitives" (seznam). Ukládám do PostgreSQL, tady je mapování na sloupce, ve stejné složce je i základní struktura databáze.
Provozuji v Dockeru. Konfigurační soubor nfacctd.conf může vypadat takhle. debug: true pomůže odhalit nesprávnou strukturu tabulky, případně další věci. Pak je dobré dát false.
daemonize: false
debug: true
nfacctd_port: 2055
geoipv2_file: /etc/pmacct/GeoIP/GeoLite2-Country.mmdb
aggregate: src_host, dst_host, src_port, dst_port, proto, tos, in_iface, out_iface, src_host_country, dst_host_country, src_mac, dst_mac, peer_src_ip
sql_table_version: 9
plugins: pgsql
sql_optimize_clauses: true
sql_refresh_time: 10
sql_history: 1d
sql_history_roundoff: d
sql_db: pmacct
sql_table: acct_v9
sql_host:
sql_user:
sql_passwd:
Teď už by se jen hodil dobrý dashboard do Grafany, možná i nějaké předzpracování 🙂
