# ngctl mkpeer le0: tee lower right
# ngctl name le0:lower le0_tee
# ngctl connect le0: lower upper left

Проверяем настройки:

# ngctl show le0:
Name: le0 Type: ether ID: 00000003 Num hooks: 2
Local hook Peer name Peer type Peer ID Peer hook
———- ——— ——— ——- ———
upper le0_tee tee 00000006 left
lower le0_tee tee 00000006 right

Чтобы получить статистику, нужно отправить сообщение getstats:

# ngctl msg le0:lower getstats
Rec’d response “getstats” (1) from “[6]:”:
Args: { right={ inOctets=275355 inFrames=2796 outOctets=12961 outFrames=118 } left={ inOctets=12961 inFrames=118 outOctets=239292 outFrames=2427 } }
# ngctl msg le0:upper getstats
Rec’d response “getstats” (1) from “[6]:”:
Args: { right={ inOctets=283635 inFrames=2872 outOctets=17061 outFrames=166 } left={ inOctets=17061 inFrames=166 outOctets=247572 outFrames=2503 } }

Более подробную информацию о проходящем трафике способен показать узел ng_netflow(4).

Итоговая информация экспортируется в виде, совместимом с популярным протоколом NetFlow компании Cisco. Поэтому для ее анализа можно использовать любой коллектор, поддерживающий этот протокол. Кстати, кроме ng_netflow есть еще ng_ipacct, но он не входит в стандартную поставку, а последняя версия на сайте ftp.wuppy.net.ru/pub/FreeBSD/local/kernel/ng_ipacct датирована декабрем 2006 года, поэтому не будем на нем останавливаться.
Существует несколько схем подключения ng_netflow, мы разберем только одну из них. Начинаем:

# ngctl mkpeer le0: tee lower left
# ngctl connect le0: le0:lower upper right

Создаем many-узел при помощи ng_one2many и подключаемся к нему:

# ngctl mkpeer le0:lower one2many left2right many0
# ngctl connect le0:lower.left2right right2left many1

Даем имя o2m узлу le0:lower.right2left:

# ngctl name le0:lower.right2left o2m

Создаем на o2m узел типа netflow с именем netflow:

# ngctl mkpeer o2m: netflow one iface0
# ngctl name o2m:one netflow

И узел ksocket на “netflow:” для экспорта:

# ngctl mkpeer netflow: ksocket export inet/dgram/udp
# ngctl msg netflow:export connect inet/192.168.1.100:1111

Теперь для проверки вводим «ngctl list». Если модули загружены, запрашиваем таблицу подключений netflow:

# ngctl show netflow

Далее устанавливаем одну из утилит-коллекторов. Список некоторых коллекторов приведен на странице www.cse.wustl.edu/~cs5/567/traffic/index.html. Поиск в портах FreeBSD также дает нужный результат:

$ cd /usr/ports/
$ make search key=netflow

Например, выбираем flow-tools:

# cd /usr/ports/net-mgmt/flow-tools
# make install

Захватываем пакеты с созданного сокета (подробная документация о flow-tools есть на сайте www.splintered.net/sw/flow-tools/docs/):

# mkdir /var/netflows
# /usr/local/bin/flow-capture -p /var/run/flow-capture.pid \
-n 24 -N 0 -w /var/netflows/ -S 0/192.168.1.100/1111

После этого в каталог /var/netflows будет складываться захваченная статистика, каждый час будет создаваться новый файл (-n 24). Файлы имеют бинарный формат, поэтому для просмотра используем специальные утилиты из комплекта flow-tools. Ключ ‘-f‘ указывает на формат вывода, при значении 10 будет выведен адрес источника и назначения, ключ ‘-S‘ отвечает за поле сортировки:

# /usr/local/bin/flow-cat -p /var/netflows/ | /usr/local/bin/flow-stat -f10 -S4 -P