NetworkAdmin

разобрался. синтаксис немного не так # tcpdump -i xl0 -evn dst port 80 and not ether dst host хх:хх:хх:хх:хх:хх вот полезная ссылка http://www.protocols.ru/modules.php?name=N...article&sid=125

спасиб.. попробовал # tcpdump -i xl0 -evn dst port 80 and not dst ether host xx:xx:xx:xx:xx:xx tcpdump: syntax error # где грабли? если просто # tcpdump -i xl0 -evn dst port 80 начинает ловить все что на 80 порт... tcpdump: listening on xl0, link-type EN10MB (Ethernet), capture size 96 bytes

по трафшоу.. например вижу я что: 192.168.1.1 идёт на ya.ru ya.ru отвечает 192.168.1.1 НО КАКОЙ ШЛЮЗ ИСПОЛЬЗУЕТ 192.168.1.1 ?? Мой шлюз 192.168.1.10 или наглеца? как вычислить в пакете через какой шлюз пакет идёт?

tcpdump я итак пишу ВСЕ пакеты.. но разбирать в таком трафике - нереально в часы пик.. еще раз обьясню.. есть фрибсд.. настроена как бридж.. 2 интерфейса.. в разрыв сети смотрят.. я могу видеть-снифить ЛЮБОЙ пакет по отдельности.. но 10мб пакетов за 1секунду дампа меня не возбуждает смотреть.. У меня мой шлюз хх.хх.хх.хх. Вопрос КАК мне скинуть в файл/показать на экран, что запрос на yandex.ru пошёл например от какого-то компа не на мой шлюз хх.хх.хх.хх а на какой-то левый уу.уу.уу.уу в сети???

есть "благодетель", который пользовал такой и-нет, себя не засветил, только инфу сказал.. без конкретных адресов-имён. дальше давить этого чела не получается. ну например дамплю я кусок всего трафик проходящего через бридж за пару минут в файл.. теперь как отловить пакеты идущие в мир не через мой шлюз?

Имеем сетку на 100+ юзеров. Есть свой и-нет, всё было супер, до новых тарифов телекома... Начали брать такой и-нет, переводить модемы в режим роутера, и раздавать на нычку по сети... Как отловить или как отмониторить? Смотреть tcpdumpоm все пакеты не выход.. например есть мой шлюз хх.хх.хх.хх, если назначение пакета - мир, и он идёт не на этот шлюз, то сделать запись в лог или на экран, пакет с адресами куда-откуда он идёт... Имеем некое количество серверов на freebsd, работают в режиме бриджа фильтрующего, сетевухи в промиск режиме.. куда рыть? как мониторить тем что имеем?