NTOP使用指南

cxwpf200

Ntop使用指南

　　目录
　　约定及范例... 2
　　使用指南... 2
　　第一章 ntop简介... 2
　　第二章 ntop的安装及参数配置... 3
　　2.1 ntop在windows xp系统下的安装： 3
　　2.2 ntop在linux下的安装： 3
　　第三章 ntop对网络流量的统计分析... 5
　　3.1 ntop选项介绍 5
　　3.2 ntop选项具体分析介绍 6
　　附录：... 25
　　

约定及范例
　　1. 【】中的内容表示选项。
　　2. 文档中插入图片编号格式：章-节-顺序号。如3-2-3表示第三章第二节第三幅图。
　　3. 手册编写中使用“→”表示菜单项之间的层次关系，如【Summary】→【host】表示Summry下的host项。
　　4. ntop即支持linux操作系统也支持windows操作系统，目前win32平台还只有demo版本，只能捕捉2000个包，本文是基于linux平台下centos5.3版本介绍的，nprobe+ntop实现。使用源代码编译安装的方式。
使用指南
　　本手册详细的介绍了ntop在linux中的安装、配置、及结合nprobe的使用和网络流量分析方法。主要供网络管理员和对网络流量比较感兴趣的用户所使用，在第一章中对ntop的功能做了简单介绍；在第二章中主要讲解ntop在linux下的安装方法及基本配置。第三章中主要讲解ntop在linux下对网络流量统计信息的分析方法。
　　第一章 ntop简介
　　Ntop是一种监控网络流量工具，用ntop显示网络的使用情况比其他一些网络管理软件更加直观、详细。ntop甚至可以列出每个节点计算机的网络带宽利用率。他是一个灵活的、功能齐全的，用来监控和解决局域网问题的工具；尤其当ntop与nprobe配合使用，其功能更加显著。它同时提供命令行输入和web页面，可应用于嵌入式web服务。

　　Ntop主要提供以下一些功能：
　　◆ 自动从网络中识别有用的信息；
　　◆ 将截获的数据包转换成易于识别的格式；
　　◆ 对网络环境中通信失败的情况进行分析；
　　◆ 探测网络环境中的通信瓶颈；
　　◆ 记录网络通信的时间和过程。
　　它可以通过分析网络流量来确定网络上存在的各种问题；也可以用来判断是否有***正在***网络系统；还可以很方便地显示出特定的网络协议、占用大量带宽的主机、各次通信的目标主机、数据包的发送时间、传递数据包的延时等详细信息。通过了解这些信息，网管员可以对故障做出及时的响应，对网络进行相应的优化调整，以保证网络运行的效率和安全。

第二章 ntop的安装及参数配置

　　2.1 ntop在windows xp系统下的安装：
　　在ntop 官网（www.ntop.org）上下载支持windows的demo版本。在Windows XP上可直接双击安装ntop-3.3-demo.exe文件，最后会一起安装WinPcap 4.0。安装以后，在服务里面把ntop服务打开（重启也可以），然后就可以用浏览器访问http://localhost:3000/端口即可。帮助可以到安装目录里面运行：ntop /h
　　2.2 ntop在linux下的安装：
　　在ntop官网（www.ntop.org）下载linux下最新的ntop版本（ntop-3.3.10.tar.gz）。
　　安装位置：cp到所以安装的目录；
　　解压：tar xxzvf ntop-3.3.10.tar.gz
　　安装相关软件：yum install gcc gcc-c++ make libpcap libpcap-devel gdbm-devel libgd-devel libpng-devel libtool libtool-libs rrdtool rrdtool-devel（此处需要注意：首先要在【系统】→【管理】下安装mysql软件，其次最新版ntop需要安装libevent-1.4.x.tar.gz以上版本软件。）
　　Cd到ntop-3.3.10目录。
　　运行：./autogen.sh
　　运行：./configure
　　运行：make
　　运行：make install
　　添加用户：useradd -M -s /sbin/nologin -r ntop
　　设置用户权限：chown ntop:root /usr/local/var/ntop/
　　设置用户权限：chown ntop:ntop /usr/local/share/ntop/
　　设置密码：ntop –A
　　Ntop做为守护进程运行：/usr/local/bin/ntop -d -L -u ntop -P /usr/local/var/ntop --skip-version-check --use-syslog=daemon
　　查看统计信息：在浏览器地址 栏输入http://localhost:3000/。
　　2.3 ntop在linux下的参数配置
　　第三章 ntop对网络流量的统计分析
　　3.1 ntop选项介绍

（1）.【About】选项，该选项主要对ntop做以简单介绍

l 【What is ntop？】；

l 【Credits】；【Make a Donation】；

l 【Ntop World】→【ntop-based Solution】；

l 【Online Documentation】→【Man Page】；

l 【Show Configuration】

l 【Report a Problem】

（2）.【Summary】选项，该选项对所有主机流量信息统计，包含如下选项：

　　l 【Traffic】
　　l 【Host】
　　l 【Network load】
　　l 【Hosts World Map】

l 【Network Flows】

（3）.【All Protocols】选项，统计所有协议类型的流量信息。

　　l 【Traffic】
　　l 【Throughput】

l 【Activity】

（4）.【IP】选项。分析TCP/IP谢了流量。

　　l 【Summary】→【Traffic】
　　l 【Summary】→【Multicast】
　　l 【Summary】→【Internet Domain】
　　l 【Summary】→【Networks】
　　l 【Summary】→【ASs】
　　l 【Summary】→【Hostclusters】
　　l 【Summary】→【Distribution】
　　l 【Traffic Directions】→【Local to Local 】
　　l 【Traffic Directions】→【Local to Remote】
　　l 【Traffic Directions】→【Remote to local】
　　l 【Traffic Directions】→【Remote to Remote】
　　l 【local】→【Ports used】
　　l 【local】→【Active TCP/UDP sessions】
　　l 【local】→【Host Fingeflag】
　　l 【local】→【Host Characterization】
　　l 【local】→【Local Matrix】

（5）.【Utils】选项，对一些ntop信息日志的处理。

　　l 【Data Dump】
　　l 【View Log】

（6）.【Plugins】选项，对一些自定义规则流的统计分析。包含如下选项：

　　l 【cPacket】
　　l 【Last Host Seen】
　　l 【ICMP Watch】
　　l 【NetFlow】
　　l 【PDA】
　　l 【Remote】
　　l 【Round Robin Databases】
　　l 【sFlow】
　　l 【All】

（7）.【Admin】选项；该选项主要是用于切换网卡接口，以ntop用户身份配置和管理ntop。

　　l 【Switch NIC】
　　l 【Configure】→【Startup】
　　l 【Configure】→【Preferences】
　　l 【Configure】→【Packet Filter】
　　l 【Configure】→【Reset Stats】
　　l 【Configure】→【Web Users】
　　l 【Configure】→【Protect URLs】
　　l 【Shutdown】
　　3.2 ntop选项具体分析介绍
　　（1）.【About】选项具体分析：

【What is ntop？】

关于ntop的简单介绍

【Credits】

介绍ntop的由来

【Make a Donation】

如何拥有ntop

【Ntop World】→【ntop-based Solution】

http://www.ntop.org/solutions.html

【Ntop World】→【Online Documentation】

http://www.nmon.net/products.html

【Online Documentation】

→【Man Page】

显示ntop主界面。

【Online Documentation】→【Help】

获得ntop帮助信息

【Online Documentation】

→【FAQ】

ntop的常见问题解答

【Online Documentation】

→【Risk flags】

ntop报告一些带标志的信息

【Show Configuration】

显示ntop的参数配置信息及运行时的配置信息。

【Report a Problem】

发送ntop错误信息的报告格式。

　　（2） 【Summary】选项分析介绍
　　【Traffic】
　　显示全局流量统计，包括活动接口流量统计，全局协议分布，TCP/UDP协议分布及TCP/UDP端口流量分布统计。
　　【Host】
　　显示所有可见主机信息，
　　【Network load】
　　网络负载统计，显示10分钟，一小时，一天甚至一个月的流量统计。
　　【Hosts World Map】
　　显示世界各地主机分布图
　　【Network Flows】
　　列出用户定义的流的规则信息
　　【Summary】→【Traffic 】：图示如3-2-1，3-2-2，3-2-3，3-2-4。在这个选项页面中统计了可用网卡接口信息，目前监控网卡接口监听网络流量信息，对packets进行了详细分析，也对Traffic的生存期也进行了详细分析，以及对某些协议流量进行了分析统计。

图3-2-1

　　【Summary】→【Traffic 】：对监听的网卡接口所捕获的packets进行分析如图3-2-2

图3-2-2

　　【Summary】→【Traffic 】：对监听网卡接口中的Traffic的生存时间分析如图3-2-3

　　图3-2-3

　　【Summary】→【Traffic 】：所有TCP/UDP协议分布如图3-2-4，该图对网络的一些协议类型的流量进行了统计分析.

　　图3-2-4
　　【Summary】→【Host】：列出了所有可见主机的流量信息，可以用Tytes统计，也可以用packets统计分析，要了解其详细信息，只需点击对应的Host便可查看，如图3-2-5

　　图3-2-5

　　【Summary】→【Network load Statistices】：该项可以查看最近10分钟，一小时，一天，一个月的网络流量统计，如图3-2-6

图3-2-6

　　【Summary】→【Hosts World Map】：通过goolge地图，可以搜索主机的分布位置(NTOP-3.3以上版本才有此选项功能,我使用NTIP-3.2的版本没有),例如图3-2-7

　　图3-2-7
　　【Summary】→【Network Flows】：此处是统计一些按用户定义的流规则统计的流信息，如图3-2-8

　　图3-2-8
　　（3）.【All Protocols】选项
　　【Traffic】
　　列出每个可见主机的流量信息
　　【Throughput】
　　显示网络吞吐量
　　【Activity】
　　显示可见主机每小时的流量
　　【All Protocols】→【Traffic】：该页面统计了所以可见主机的网络流量信息可查看分布位置，是DNS、HTTP或路由器DHCP等，包含TCP，UDP，ICMP和一些其他协议，要查看具体某个主机的流量信息，只需点击对应的Host项即可查看，如图3-2-9

　　图3-2-9

　　【All Protocols】→【Throughput】：列出可见主机的吞吐量，可查看分布位置，是DNS、HTTP或路由器DHCP等等。查看具体某个主机可点击对应的Host选项，如图3-2-10

　　图3-2-10
　　【All Protocols】→【activity】：列出了当前网络中主机的流量（24小时中每小时的流量状态），可以按发送来查看，也可以按接收来查看，默认是统计所有的信息，如图3-2-11

　　图3-2-11
　　（4）. 【Ip】选项
　　【Summary】→【Traffic】
　　每个可见主机的TCP/IP流量统计
　　【Summary】→【Multicast】
　　多播信息
　　【Summary】→【Internet Domain】
　　对互联网域的流量统计
　　【Summary】→【Networks】
　　显示所有网络的TCP/IP及ICMP信息
　　【Summary】→【ASs】
　　BGP自治域统计的TCP/IP及ICMP信息
　　【Summary】→【Hostclusters】
　　显示之前定义的主机群信息
　　【Summary】→【Distribution】
　　显示流量分布
　　【Traffic Directions】→【Local to Local 】
　　本地到本地的流量
　　【Traffic Directions】→【Local to Remote】
　　本地到远端的流量
　　【Traffic Directions】→【Remote to local】
　　远端到本地的流量
　　【Traffic Directions】→【Remote to Remote】
　　远端到远端的流量
　　【local】→【Ports used】
　　本地使用的端口
　　【local】→【Active TCP/UDP sessions】
　　【local】→【Host Fingeflag】
　　【local】→【Host Characterization】
　　主机类型及运行的服务
　　【local】→【Local Matrix】
　　本地主机信息交换矩阵图
　　【Summary】→【Traffic】：每个可见主机的TCP/IP流量统计，列出各个主机的FTP，HTTP，DNS等一些应用层协议流量，可以在Host下选择所需要查看的对应相信主机信息，图3-2-12

　　图3-2-12
　　【Summary】→【Internet Domain】：列出所有域的TCP/IP及ICMP信息，图3-2-13

　　图3-2-13
　　【Summary】→【Networks】：显示网络中TCP/IP及ICMP的信息，本网络是192.168.2361.0/24，(NTOP-3.3以上版本才有此选项功能,我使用NTIP-3.2的版本没有),例如图3-2-14

图3-2-14

　　【Summary】→【ASs】：显示所有域中的TCP/IP及ICMP流量信息，(NTOP-3.3以上版本才有此选项功能,我使用NTIP-3.2的版本没有),图3-2-15

　　图3-2-15
　　【Summary】→【Distribution】：IP协议流量分布，有本地到本地的，本地到远端的，远端到本地的和远端到远端的，图3-2-16

　　图3-2-16
　　【Traffic Directions】→【Local to Local 】：显示本地到本地的IP流量统计图3-2-17

　　图3-2-17
　　【Traffic Directions】→【Local to Remote】：本地到远端的IP流量统计，图3-2-18

　　图3-2-18
　　【Traffic Directions】→【Remote to local】：远端到本地的IP流量统计，图3-2-19

　　图3-2-19
　　【local】→【Ports used】：本地的TCP/UDP协议使用端口等信息，图3-2-20

　　图3-2-20
　　（5）.【Utils】选项
　　【Data Dump】
　　转存ntop的统计信息，可以用txt，html等格式
　　【View Log】
　　流量ntop的日志
　　【Data Dump】：ntop可以把Hosts，Hosts Matrix等信息存于txt或html等其他格式，(NTOP-3.3以上版本才有此选项功能,我使用NTIP-3.2的版本却显示空白, ),例如图3-2-21

　　图3-2-21
　　【View Log】：图3-2-22

　　图3-22
　　（6）.【Plugins】选项
　　【cPacket】
　　统计cPacket cTap捕获的流量信息
　　【Last Host Seen】
　　该插件生成从各主机发出的最后一个包的报告
　　【ICMP Watch】
　　ICMP信息统计
　　【NetFlow】
　　Ntop对收集netflow的配置及统计信息
　　【PDA】
　　用WAP从PDAs配置访问ntop
　　【Remote】
　　此插件允许远程应用程序访问ntop数据信息
　　【Round Robin Databases】
　　RRD的配置及统计信息
　　【sFlow】
　　sFlow一些相关信息
　　【All】
　　显示各种插件是否激活等
　　【Plugins】→【NetFlow】→【Statistics】：在对netflow配置后，可以统计Netflow的详细信息，包括netflow的格式、数量及端口的流量的统计，(我的没有配置,借用他人的图),如图3-2-24

　　3-2-24
　　【Plugins】→【Round Robin Databases】→【Statistics】：对RRD数据信息的统计，(我的没有配置,借用他人的图),图3-2-25

　　图3-2-25
　　（7）. 【Admin】选项
　　【Switch NIC】
　　切换网卡接口
　　【Configure】→【Startup】
　　配置ntop以何种方式启动
　　【Configure】→【Preferences】
　　一个ntop参数设置页面选项
　　【Configure】→【Packet Filter】
　　设置过滤表达式
　　【Configure】→【Reset Stats】
　　清空ntop在内存中的信息，重新统计
　　【Configure】→【Web Users】
　　Ntop使用用户及密码
　　【Configure】→【Protect URLs】
　　配置用户访问ntop的网页
　　【Shutdown】
　　关闭ntop程序
　　【Admin】→【Configure】→【Startup】：ntop的一些配置信息，这里可修改监控的网卡等其他选项同,图3-2-26

　　图3-2-26
　　【Admin】→【Configure】→【Preferences】：编辑ntop首选项信息，图3-2-27

　　图3-2-27

　　附录：