請(qǐng)教，想對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行分析，有幾種方案，不知道那種好呢？

ryangecko

想對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)包進(jìn)行分析，可能對(duì)web內(nèi)容進(jìn)行過(guò)濾和內(nèi)容審計(jì)，想了一下，好像有點(diǎn)難與選擇！
1.使用netfilter的hook進(jìn)行對(duì)包處理，但是旁路(混雜模式)的包不處理了，進(jìn)不了協(xié)議棧，只能用作代理或網(wǎng)橋模式，如果流量過(guò)大又會(huì)造成中斷過(guò)高。
2.使用libpcap進(jìn)行抓包進(jìn)行分析，但是效率又不高，并且沒(méi)有辦法控制，pr-ring抓包效率會(huì)高點(diǎn)，好像也沒(méi)有辦法控制，如果流量過(guò)大cpu占用就會(huì)很高。

我是想實(shí)現(xiàn)既能高效對(duì)包分析處理，也能對(duì)處理后的包進(jìn)行控制，最好能把包先到用戶態(tài)處理，然后再流回到協(xié)議棧進(jìn)行控制，是否能實(shí)現(xiàn)呢？

ryangecko

bekars

分析內(nèi)容要重組tcp數(shù)據(jù)流，最簡(jiǎn)單的做法是代理方式，抓包方式重組流會(huì)很麻煩

ryangecko

用透明代理方式，是不是像squid

tuibo

加密的應(yīng)用使用 透明代理可以， 不加密的沒(méi)必要使用透明代理，透明代理效率比較差，在內(nèi)核里面直接組裝過(guò)濾比較好

samlumengjun

用2臺(tái)機(jī)器,或者虛擬一臺(tái)專門(mén)做審計(jì)用, netfilter這邊把所有流量復(fù)制一份到審計(jì)那邊就行了.

ryangecko

虛擬設(shè)備正在考慮

crazyhadoop

wireshark 是個(gè)神器啊





www.crazyhadoop.com