Analyse trafic réseau
Résolu
Bonjour,
Je souhaiterais effectuer une analyse de trafic du réseau, pas seulement sur mon interface (comme Wireshark le fait) mais bien une analyse du traffic circulant sur la totalité du réseau, avec sa provenance, le type de trafic, possibilité de faire des stats....
Si vous avez des idées....
Merci!!!
--
No amount of magic knobs will save a sopply designated network...
Je souhaiterais effectuer une analyse de trafic du réseau, pas seulement sur mon interface (comme Wireshark le fait) mais bien une analyse du traffic circulant sur la totalité du réseau, avec sa provenance, le type de trafic, possibilité de faire des stats....
Si vous avez des idées....
Merci!!!
--
No amount of magic knobs will save a sopply designated network...
Configuration: Windows XP Internet Explorer 6.0
22 réponses
Résumé de la discussion
Plusieurs approches permettent d'analyser le trafic sur l'ensemble d'un réseau local, au-delà d'une capture sur une seule interface, afin d'identifier la provenance, le type de trafic et les statistiques. Des solutions reposent sur le mode promiscuous, le port mirroring ou le span sur les switches, et sur des sondes réseau comme ntop, tout en tenant compte des limitations des VLAN et des hubs. En cas d'infrastructure moderne, les solutions les plus efficaces impliquent souvent un port d'observation dédié, une fonction de copie de trafic côté switch et, lorsque disponible, des statistiques gérées par RMON ou équivalents.
-
Salut,
allez, il faut recadrer :
mode promiscuous ou pas:
le mode promiscuous permet a une carte réseau de lire tout le traffic qu' elle reçoit, en mode normal, elle ne lira que le traffic qui lui est destiné (à son adresse mac ou broadcast)
mais le mode promiscuous ne sert à rien si l'on est sur un switch en fonctionnement normal : il n' envoie que les broadcast et le traffic à destination des adresses mac connues sur ce port .
le mode promiscuous ne concerne que la carte réseau , en aucun cas le switch et encore moins un hub pour lequel ça n'a aucune signification puisqu'il fonctionne au niveau électrique et ne sélectionne pas les trames en fonction de la destination .
pour qu' un port de switch puisse emettre le traffic destiné à un autre port , il faut le lui préciser par configuration (monitor ou span chez cisco) sinon on ne verra pas grand chose par rapport à un hub qui retransmet tout ce qu'il reçoit .
bien entendu les vlans vont encore plus loin en empêchant toute retransmission d'un trame d'un vlan vers un autre .
il est aussi clair qu'il est totalement impossible d'agir sur le comportement d'un switch à partir d'une interface réseau sans agir sur sa configuration (heureusement) donc pour analyser TOUT le traffic réseau sur un switch, il faut le configurer expréssément dans ce but et sur un seul port bien défini .
bien souvent d'ailleurs, ça consistera à seulement renvoyer les trames émises et reçues sur un port vers un autre port d'observation , donc pas forcément tout le traffic .
sinon, rrdtool n'a pas grand chose a voir avec le réseau, c'est juste une façon de gérer des données .
ce qui est demandé dans la question initiale est typiquement du domaine des sondes réseau , ce travail est souvent réalisé par les switchs manageables (statistiques rmon et rmon2) , si on ne dispose pas de switch capable, on peut installer un PC muni de ntop qui, en mode promiscuous , donc dépendant du switch , permet de mesurer tout le traffic reçu .
hop: https://fr.wikipedia.org/wiki/Ntop -
Bonjour,
Après quelques recherches, je ne trouve toujours pas le moyen d'analyser un flux VPN.
A part le fait d'analyser les trames SNMP, et/ou utiliser une sonde etherscope, je ne vois pas trop comment faire.
J'avais déja utilisé NTOP, il est pas mal, mais ne répond pas à mes besoins ce coup ci.
En fait, ce que je cherche à savoir, c'est de comprendre pourquoi un VPN (IPSEC, ou autre) tombe par moment. Problème de débit DSL, trop de données ? etc...
Hoplà !
Bonne journée
Benoît -
Bonjour,
Et dans le cas où l'on veut "sniffer" un VPN ? Me conseillez-vous une sonde etherscope, ou NTOP le gère aussi ?
Merci d'avance
Benoît -
==>> Et quand le switch est pas manageable??!!!
Forcément ca aide pas :) -
Changé un hub pour un switch ??
Ca serai pas moins ennuyeux de configurer un port de ton switch pour monitorer le traffic ?
Enfin moi je dit ca comme ca. -
Bon, j'ai mis en place ma machine, en mode promiscuous, sur le switch ou arrive l'antenne, et il semblerai, que ça ne soit pas la bonne solution.... Je chope encore pas mal de broadcast, des données qui arrivent un peu de partout... La m**** quoi!!! Donc, pour étre plus efficace, je pensai : brancher un Hub à la sortie de l'antenne, brancher ce hub sur le switch, et brancher ma machine sur ce hub...
Antenne***Hub******Switch*****
.................*........................*****
.................*........................*****Reste du réseau
.................*........................*****
.................*........................*****
..............Sonde
Un peu comme ça... De cette façon, est ce que je devrai visioner "uniquement" le trafic lié à cette fichue liaison antenne???!!!
Reste encore à trouvé un petit hub, ou je bosse, il on tout mis à la poubelle, et même sur le net, cette bête la ne cours pas les rues!!!
-
-
@brupalaEt oui, des antiquaires comme tu dis, mais, coup de chance!!! J'en ai chaerché un peu partout, dans diverses boutiques, pas trouvé... Je rentre chez moi, je dis ça à ma petite maman (...) mon beau pére étant dans le coin entend... Et là il me dit "Des hub, tu veux dire les vieu machins qu'y avait dans les réseau pour brancher du RJ45?? J'en ai 4 dans le garage!!!". Et biensur, un 100M, 16 ports dans le tas, j'en demandais pas tant!!!
Trève de plaisanteries, ce matin, debout un peu plus tot, direction le boulot, je met en place tout le tralala et hop, tout roule, j'arrive a voir tout ce qui passe, fini les tonnes de broadcast (1%!!)...
Pour conclure, si vous voulez sonder le trafic de votre réseau :
-Un Linux
-Ntop à installer dessus (au autre si vous préfèrez)
-Un Hub (100M de préference)
Et c'est tout!!! Après voir le branchement effectué quelques post plus haut, et vous pourrez voir tout ce que vous voulez, du moin, tout ce que ntop vous donne!!
Enfin, merci à tous pour le coup de main!!!!
Au plaisir!!!
PS : ceux qui galére ou qui on pas compris, pv...
-
-
J'irai voir tout ça demain... Ouai en effet ntop m'a l'air pas mal!!!
Et je vous tiendrai au courant, si ça vous interesse!!
Bonne soirée! -
Comme le disait brupala la meilleur piste est ntop ou alors cela depend du switch que tu as, peut-etre dispose t-il de cette option. A toi de regarder ca.
-
Oui c'etait previsible mais parfois on a besoin de se faire ses propres experiences ;)
Comme je te disais Makss le soucis ne vient pas d'un probleme de logiciel mais plutot de l'endroit ou il est utilise.
Pourrais tu nous detailler l'architecture reseau entre tes deux sites?-
Alors si tu veux, le but principal serait d'étudier la liaison entre deux batiments (antenne de chaque coté, puis switch...), pour cela, j'ai bien compris qu'il fallait que je fasse mes mesures d'un coté (ou de l'autre) de l'antenne. Mais on m'a demandé si c'étais possible de visualiser tout le trafic réseau... Sachant qu'il y a 7 batiments, 3 d'un coté relié par de la fibre, 4 à 300m des 3 premiers, relié eux aussi entre eux par de la fibre et notre fameuse antenne entre ces deux groupes...
La je m'amuse avec ntop (très complet, je le conseille)...
Wala wala, je dois rentrer, si vous avez des idées, faites en part et je test ça demain!!!
-
-
Bon, alors, j'ai installé backtrack ainsi que etherape qui en fait, n'est ni plus ni moins qu'une version graphique d'ethereal (wireshark). Oui, on voit pas mal de chose, mais c'est principalement du traffic de broadcast...
Donc, overflow76, tu étais dans le bon!!! Mon problème n'est toujours pas résolu pour autant!!!!
Mais en fouinant un peu sur le forum, j'ai trouvé un post de brupala parlant de ntop...
J'aimerais donc savoir,si quelqu'un la déja utilisé, et quelles sont ses possibilités??
Merci
-
Et c'est tout aussi valable pour toi.
Mais je prefere arreter la, apres tout libre a toi de croire que le reseau n'a aucune limite et que grace a ton logiciel miracle tu pourras tout voir.
Je te laisse quand meme un dernier lien trouve sur un forum d'une personne qui comme toi pensait avoir compris...-
Ecoute, tant que j'ai pas essayé, je vais pas te dire que tu as raison... Ton lien sur le mode promiscuous, est hors sujet, c'est pas exactement ce dont on parle pour le moment, et le mode promiscuous, j'ai compris ce que c'étais depuis quelques jou déja, enfin bref... Je fais les tests demain, et on verra bien le résultat non??!!!
Sinon, petite dérivation, mais toujours dans la même optique : si il s'avérait que ça ne marche pas, qui a entendu parler de RRDTool, et de ses possibilités en matiére d'analyse de trafic??!!
A+ -
@MakssOui il traite en effet du mode promiscuous mais si tu avais tout lu tu aurais vu qu'il donnait surtout la difference entre hub et switch et donc a fortiori entre reseau segmente et non segmente.
Pour terminer il donnait le resultat du test de ton logiciel, a savoir que tu captureras tout ce qui passe sur ta carte, meme ce que tu n'es pas sense recevoir directement mais en aucun cas l'esemble du traffic de ton lan.
-
-
Les tests sont prévu pour demain dans la journée, si tout roule!!!! Donc, je tiendrai au courant les gens que ça interesse!!!
A demain donc!!! -
Du tout, les failles viennent a 99% d'erreurs humaines dans la programmation ou la mise en place des differents politiques de securite.
Apres tu auras beau dire ce que tu veux mais 1+1 feront toujours 2 et heureusment d'ailleurs car si nous n'avions pas des bases solides sur lesquelles nous appuyer on pourrait pas avancer.
Sur ce je te laisse faire tes tests, amuse toi bien :) -
C'est pas la peine d'essayer, ouvre juste un bouquin de reseau et lis.
Tu sais si on suit ce que tu dis, tout le traffic reseau passe partout.
Y a rien qui te choque la dedans?-
Salut,
Je te le répète, et je ne dis pas de conneries, mon formateur est réellement résté sur les fesses et ne comprennait pas justement comment cela était possible ! Et ça je ne dis pas de conneries ! (Et oui Pierre K. , si tu lis ça tu vas te reconnaitre !!!!!)
Fais moi plaisir, lance cet utilitaire dans ton réseau et dis nous ce qu'il s'y passe ???
Merci à toi de faire cet éffort.
Je vais essayer de demarrer un poste ou je suis avec backtrack, il ya environ 800 postes et je ne sais combien de VLAN.
Je vous tiens au courant en étant honnète et je vous ferais part de tous ce que je vois et ne vois pas.
A bientôt.
PS: Overflow76 si on s'arretait à ce que dis la logique des livres réseaux, je pense que la sécurité de tout système serait sans failles, hors ce n'est pas le cas du tout.
-
-
Tu n'as pas compris dans ce sens que tu confonds reseau segmenté et non segmenté.
Bien sur que sur un reseau domestique qui est la plupart du temps non segmenté tu vas pouvoir tout recupérer ce qui passe.
Par contre, quelle est le but de la segmentation? Desengorger le reseau et l'optimiser.
En clair, si tu veux pouvoir recuperer tout ce qui passe tu dois mettre un hub juste derriere un point de passage de tout ton reseau et te brancher dessus en promiscuous et la en effet tu verras ce qui passe.
PS: oui bien sur qu'on est ici pour apprendre, moi même j'en apprend tout les jours mais faut pas rester borner sur ses positions et accepter d'avoir torts parfois.-
Coucou à tous,
C'est rigolo c'est a peu prêt le même discours que m'a tenu un formateur réseau l'an passé, jusqu'à ce qu'il vu de ces yeux la démo par un ami à moi.
Tu sais je pense surtout qu'il faut se dire que rien n'est impossible, ou alors il n'y aurait pas des gars de 14 ans qui traversent des barrières de sécurité misent en place par les plus grosses têtes pensantes de notre terre (du moins d'un pays).
Essaye justement et dis nous.
à bientôt tutti. -
-
-
Je crois que vous avez pas bein saisi comment se comportait un reseau.
Je vous renvois donc ici
PS: c'est sympa pour le conseil pour backtrack mais ca fait bien longtemps que je l'utilise ;) -
Ok alors ca veut dire que si tu viens sur mon reseau et que tu te branches sur le lan tu recupere tout ce qui passes dessus, exit les vlans, les differentes routes sur les routeurs, les switchs..etc?
C'est bien ca que tu es en train de dire?-
Théoriquement, OUI...
https://fr.wikipedia.org/wiki/Mode_promiscuous
T'en pense quoi??
En plus, Wireshark à une option à cocher ("capture packet in promiscuous mode")...
-
Coucou,
Juste un truc Overflow76, telecharge Bactrack V2 en live cd, installe le et regarde directement ETHERAPE, tu verras.
Au niveau des VLAN je ne peu te le confirmer avec certitude, je ne l'ai pas mis personnellement en route sur une config comme celle ci. Il ya des bruits que Oui mais ce n'est pas moi qui l'affirme.
exemple :
"""The following frame and packet types are currently supported: ETH_II, 802.2, 803.3, IP, IPv6, ARP, X25L3, REVARP, ATALK, AARP, IPX, VINES, TRAIN, LOOP, VLAN, ICMP, IGMP, GGP, IPIP, TCP, EGP, PUP, UDP, IDP, TP, IPV6, ROUTING, RSVP, GRE, ESP, AH, ICMPV6, EON, VINES, EIGRP, OSPF, ENCAP, PIM, IPCOMP, VRRP; and most TCP and UDP services, like TELNET, FTP, HTTP, POP3, NNTP, NETBIOS, IRC, DOMAIN, SNMP, etc"""
Le but de Etherape est de vous affciher sous forme graphique (comme une constellation) les IP et MAC des personnes et où elles se connectent ainsi que les flux différents et retracés en couleur, tu pau même mettre des filtrage.
De toute façon pour les VLAN sur Backtrack tu as d'autres outils.
Essayes, le cela ne te coute rien et tu auras la preuve devant toi, tu arrive même à voir les demandes des clients sur les sites exterieurs !
Pour Etherape il ne s'instal pas sur Windows, rien ne t'empeche de mettre vmware player et de trouver une image de backtrack, il n'est pas du tout gourmand (la V2).
à bientôt -
@MakssOui Makss,
Ta carte passe en mode "sniff", le même principe que pour craquer une clé WEP ou WPA.
https://etherape.sourceforge.io/
va voir ce lien et vois si cela peut t'aider.
A bientôt -
@PoPoMasterHello,
Ok, merci PoPoMaster!! Y a des machines qui trainent dans la réserve, je vais me servir pour mettre Backtrack et installer Etherape afin de voir ce que ça donne... Le réseau est assez étendu, il doit y avoir environ 120 machines, et une liaison wifi entre deux batiments, tu pense que ça va passer???
a plus tard!!! -
@MakssRe,
Pas de soucis, tu risques juste d'avoir besoin d'un écran 40 pouces pour tout afficher lol !!!
Non je deconne tu peux utiliser des filtres et tout pas de soucis.
Par contre tiens moi au courant stp car je suis friand de savoir comment cela se passe, compte sur moi si t as besoin d'aide.
A bientôt
-
-
Plus personne se sent d'attaque??? Parce que c'est comme ça, je vais au dodo!!! En espérant avoir quelques post demain, et si je trouve la solution pendant la nuit, je vous en fait part au réveil!!!
Bye!-
Re salut les gars
Excusez moi mais avant de dire que les sniffer ne permettent de sniffer que votre carte réseau, essayez ETHERAPE sur Backtrack et reposter ensuite pour me dire si vous ne voyez que les trames adressées à votre carte.
Je parle de chose que j'ai testé personnellement, essayez vous verrez.
Cas de figure :
Une de mes connaissance se plaignait que sur son réseau un gars téléchargeait comme un dingue, il voulait savoir qui, du moins quelle IP, j'ai simplement mis en route ETHERAPE et une superbe, magnifique interface graphique est apparue avec un méga flux tout bleu et aussi de jolies adresses comme l'IP et la MAC.
Bizarre pas de HUB sur le réseau, juste 3 switch HP en cascade et peourtant toutes les requètes de tous les postes apparaissaient.
à bientôt. -
@PoPoMasterPetite question, Etherape tourne sous windows???
-
-
Facile a mettre en oeuvre sous Windows?
D'un cote on parle d'un equipement reseau qui est un switch avec un mode promiscuous et de l'autre tu parles de Windows, je vois pas ou est le rapport.
Sinon le probleme c'est qu'avec ton Switch tu ne pourras pas recuper tout le traffic, couche 2 oblige. Il te faudrait un hub pour tout recuper.-
Alors, c'est un peu flou, en effet!!! Je vais essayé d'étre un peu moins brouillons, on peut (ou pourrai!!) mettre une carte réseau, d'un PC en mode promiscuous, ce qui lui permettrai de récupérer tout le traffic... Alors dans ce cas, switch, ou hub, peu importe non??!
...
ifconfig eth0 promisc
...est aparement la commande Linux qui va bien!! Je voulais savoir si qq avait l'équivalent Windows, j'aurai pas a monté un Linux juste poiur ça...
Et oui, en effet l'autre possibilité, si j'ai bien compris, serait d'avoir un Hub administrable dont on pourrait mettre un port en mode promiscuous afin de récupéré le trafic sur un PC basique...
Si c'est faux, qu'on m'arrète!!!
-
-
Deriere ta liaison hertzienne tu as bei un equipement manageable? genre switch ou routeur non?
- 1
- 2
Suivant
