Am Montag, 17. Juni 2002 13:20 schrieb Peter Wiersig:

Michael Hilscher wrote:

...

Ist dieses Verhalten "für ifconfig normal"? Gibt es eine verlässliche Alternative den angefallenen Traffic der Netzwerkkarte zu messen, ohne gleich "alles" loggen zu müssen?

Unzuverlässig ist da "eigentlich" nix! Der "Bytezähler" ist halt ein vorzeichenloser 32-bit-Wert, das beseutet, er läuft bis 4.294.967.295 Byte (4GB oder 4096 MB) und springt dann eben wieder auf 0 und alles geht von vorn los.

Aber dich interessiert doch die Summe von allem, oder nicht?

Ich weiss nicht, ob du iptables oder ipchains benutzen willst, aber mit beiden kriegt man eine vernuenftige Loesung hin.

Der pppd loggt ausserdem solche Informationen ueber das Syslog weg - dort schon mal geschaut?

Ich weiß zwar nicht was Du genau machen willst, aber das sollte sich mit einem kleinen script lösen lassen. MfG Mirko -- +--[ Mirko Richter (RHCE) ]------------------------+ | Networks & Communicationsystems | | Ernst-Thaelmann-Str. 5, D-06774 Soellichau | | E-MAIL: m.richter@ngi-box.de | | Tel. +49/(0)34243/3369-50 \\\\ | | Fax. +49/(0)34243/3369-28 (O O) | +-----------------------------------oOOo-(_)-oOOo--+

Am Montag, 17. Juni 2002 19:37 schrieb Adalbert Michelic:

* On Mon, 17 Jun 2002 at 19:13 +0200, Mirko Richter wrote:

...

Am Montag, 17. Juni 2002 13:20 schrieb Peter Wiersig:

...

Michael Hilscher wrote:

...

Ist dieses Verhalten "für ifconfig normal"? Gibt es eine verlässliche Alternative den angefallenen Traffic der Netzwerkkarte zu messen, ohne gleich "alles" loggen zu müssen?

Unzuverlässig ist da "eigentlich" nix!

Der "Bytezähler" ist halt ein vorzeichenloser 32-bit-Wert, das beseutet, er läuft bis 4.294.967.295 Byte (4GB oder 4096 MB) und springt dann eben wieder auf 0 und alles geht von vorn los.

Michael hat (soweit ich es verstanden habe) eigentlich nicht die Tatsache gemeint, dass der Zähler überläuft, sondern, daß mit ca. 100MB Traffic der Zähler von 3873.7 Mb auf 1928.2 Mb umgepsrungen

ist: | gestern: | RX bytes:4051425440 (3863.7 Mb) TX bytes:209013659 (199.3 Mb) | heute: | RX bytes:2021897617 (1928.2 Mb) TX bytes:213848770 (203.9 Mb)

#>bc bc 1.06 Copyright 1991-1994, 1997, 1998, 2000 Free Software Foundation, Inc. This is free software with ABSOLUTELY NO WARRANTY. For details type `warranty'. 4294967295 - 4051425440 + 2021897617 2265439472 macht ca. 2,1GB

Das ist dann doch etwas merkwürdig.

Meine ich nicht!? Ich hab seine Originalmail nich auf dem Rechner hier, kann da also nicht nachsachauen. Aber ich kann mich nicht daran erinnern, das er schreieb, wo er die 100MB her hat? RX bytes: zählt alles was in die NIC reinkommt TX bytes: zählt alles was aus der NIC rausgeht man sollte dort richtigerweise lieber von octets sprechen (also Gruppen von 8bit). ER zählt ALLES was ihm vor die NIC kommt!!! dazu zählen insbes. auch Broad- und Multicasts! Wenn in seinem Netz also BC/MC-freudige Kisten hängen (insbes. Win/Novell/Mac) treibt das den Wert ganz schell nach oben. Zumindest wenn er die Karte im "promiscuous mode" hat, zählt er auch alle Unicast-Pakete mit, die an der Karte ankommen. MfG Mirko -- +--[ Mirko Richter (RHCE) ]------------------------+ | + Netzwerke, Kommunikation, Computer, Service | | + Diskless Linux-Systeme | | + EPROM + FLASHROM Programmierung | |~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~| | Mirko Richter | | Networks & Communicationsystems | | Ernst-Thaelmann-Str. 5, D-06774 Soellichau | | E-MAIL: m.richter@ngi-box.de | | Tel. +49/(0)34243/3369-50 \\\\ | | Fax. +49/(0)34243/3369-28 (O O) | +-----------------------------------oOOo-(_)-oOOo--+

Am Mittwoch, 19. Juni 2002 14:42 schrieb Adalbert Michelic:

* On Wed, 19 Jun 2002 at 12:21 +0200, Mirko Richter wrote:

...

Am Montag, 17. Juni 2002 19:37 schrieb Adalbert Michelic:

...

* On Mon, 17 Jun 2002 at 19:13 +0200, Mirko Richter wrote: [ ... ] Michael hat (soweit ich es verstanden habe) eigentlich nicht die Tatsache gemeint, dass der Zähler überläuft, sondern, daß mit ca. 100MB Traffic der Zähler von 3873.7 Mb auf 1928.2 Mb umgepsrungen

ist: | gestern: | RX bytes:4051425440 (3863.7 Mb) TX bytes:209013659 (199.3 Mb) | heute: | RX bytes:2021897617 (1928.2 Mb) TX bytes:213848770 (203.9 Mb)

#>bc bc 1.06 Copyright 1991-1994, 1997, 1998, 2000 Free Software Foundation, Inc. This is free software with ABSOLUTELY NO WARRANTY. For details type `warranty'. 4294967295 - 4051425440 + 2021897617 2265439472

macht ca. 2,1GB

Vermutlich korrekt.

...

...

Das ist dann doch etwas merkwürdig.

Meine ich nicht!?

Meine ich schon. 100 MB sind dann doch _etwas_ mehr als 2,1 GB. Oder?

...

Ich hab seine Originalmail nich auf dem Rechner hier, kann da also nicht nachsachauen. Aber ich kann mich nicht daran erinnern, das er schreieb, wo er die 100MB her hat?

Wo er die Zahl her hat? Nun, ich nehme mal an, so einigermaßen wird er seinen eigenen Traffic noch schätzen können, und selbst, wenn es nicht 100 sondern 500 waren, ist das noch immer deutlich von 2,1 GB entfernt.

...

RX bytes: zählt alles was in die NIC reinkommt TX bytes: zählt alles was aus der NIC rausgeht

man sollte dort richtigerweise lieber von octets sprechen (also Gruppen von 8bit).

ER zählt ALLES was ihm vor die NIC kommt!!! dazu zählen insbes. auch Broad- und Multicasts!

Klar.

So ein merkwürdiges Verhalten ist mir aber auch schon öfter aufgefallen; ich angeblich[1] schon mal binnen ca. 24 Stunden 2 oder 3 GB durch eine ISDN-Leitung (64k, nicht gebündelt) gedrückt. Das _kann_ doch nicht stimmen.

24h * 3600s/h * 8kByte 691.200 kByte also eigentlich nicht mal theor. möglich -- wo krig ich so 'ne Leitung ;))

[1] Ich weiß die genauen Werte nicht mehr, das ist schon ca. 1.5 Jahre her, seitdem habe ich diese Angaben nie wieder angeschaut.

Ich kann nur sagen, daß bei uns (in den letzten 2 Jahren) solche Probleme mit den Werten nicht aufgetreten sind. Wir loggen ständig (alle 60 sec.) den Traffic, der durch das Netz geht (hier im Geb. 20 Server & 8 Router unter div. *xen). Bei der doch recht netten graf. Aufarbeitung wären da solche kleine Zählfehler [ die par GB ;) ] aufgefallen. Wie gesagt, wenn ich kaum Daten übertragen habe und dann eine diff. von 2GB bei TX auftaucht, würd mich sowas schon stutzig machen, da sein Rechner das allerdings empfangen hat, tippe ich ehr auf ein anderes "redseliges" (ggf. fehlkonfiguriertes) Gerät im Netz. Ich meine er sollte als erstes mal den Versuch starten, festzustellen woher der Traffic kommen könnte. tcpdump & co. können da Wunder bewirken. Erst wenn man so zu keiner plausieblen Erklärung kommt, würd ich mir nähere Gedanken darüber machen ;) PS.: als Beispiel! Bei einer Firma hatten wir mal folgendes: Netz: 1x Server(Netware 4), 9x Win9x, 3x Printserver, Verkabelung BNC, Proto: IPX +IP(nur fürs Inet) Dort war die Netzwerklast durch Broadcasts höher als durch die übertragenen Daten! MfG Mirko -- +--[ Mirko Richter (RHCE) ]------------------------+ | + Netzwerke, Kommunikation, Computer, Service | | + Diskless Linux-Systeme | | + EPROM + FLASHROM Programmierung | |~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~| | Mirko Richter | | Networks & Communicationsystems | | Ernst-Thaelmann-Str. 5, D-06774 Soellichau | | E-MAIL: m.richter@ngi-box.de | | Tel. +49/(0)34243/3369-50 \\\\ | | Fax. +49/(0)34243/3369-28 (O O) | +-----------------------------------oOOo-(_)-oOOo--+

Am Donnerstag, 20. Juni 2002 08:07 schrieb Michael Hilscher:

On Wed, Jun 19, 2002 at 05:00:19PM +0200, Mirko Richter wrote:

...

...

...

...

| gestern: | RX bytes:4051425440 (3863.7 Mb) TX bytes:209013659 (199.3 Mb) | heute: | RX bytes:2021897617 (1928.2 Mb) TX bytes:213848770 (203.9 Mb)

4294967295 - 4051425440 + 2021897617 2265439472

macht ca. 2,1GB

Wo er die Zahl her hat? Nun, ich nehme mal an, so einigermaßen wird er seinen eigenen Traffic noch schätzen können, und selbst, wenn es nicht 100 sondern 500 waren, ist das noch immer deutlich von 2,1 GB entfernt.

Richtig. Ich habe sogar völlig übertrieben hoch geschätzt. An diesem Tag sind tatsächlich NUR 25MB durch die Leitung gerauscht. Diese Angabe kommt vom Rechenzentrum die den Traffic zu meinem dedizierten Webserver natürlich für Abrechnungszwecke loggen.

Ja _Du hast übertragen_ d.h. versendet oder? Das ist der Wert, der bei Tx auftaucht!

...

...

So ein merkwürdiges Verhalten ist mir aber auch schon öfter aufgefallen; ich angeblich[1] schon mal binnen ca. 24 Stunden 2 oder 3 GB durch eine ISDN-Leitung (64k, nicht gebündelt) gedrückt. Das _kann_ doch nicht stimmen.

Tatsächlich ist es bereits ein zweites mal vorgekommen, dass die RX bytes so völlig "verschoben" wurden. Interessant ist, dass der TX wert dies nicht tut. Siehe auch Beispiel oben - bei 2,1 GB "RX Traffic"

Empfangen hat _nix_ mit versenden zu tun!!!

entstehen nichtmal 4 MB "TX Traffic"? Das ist doch Unsinn.

Ja kann doch sein, ich kenne das Netz dort nicht, wenn das ein Hoster ist, dan können da in einem Netz ziemlich viele Rechner hängen. Und wenn die dann noch genügend Broad- und Multicasts ins Netz jagen, kann es zu solchen Dingen kommen.

...

Ich kann nur sagen, daß bei uns (in den letzten 2 Jahren) solche Probleme mit den Werten nicht aufgetreten sind. Wir loggen ständig (alle 60 sec.) den Traffic, der durch das Netz geht (hier im Geb. 20 Server & 8 Router unter div. *xen). Bei der doch recht netten graf. Aufarbeitung wären da solche kleine Zählfehler [ die par GB ;) ] aufgefallen.

Macht Ihr das wirklich mit ifconfig? Läuft bei Euch auch SuSE 7.2?

Nein, über snmp. Die Datenquelle für das, was via ifconfig und snmp ausgegeben wird, ist aber die gleiche, der Kernel. - mach mal ein "cat /proc/net/dev" dann siehst Du die Daten in Rohnatur, Bei uns laufen verschiedene Systeme, von einf. PC angefangen bis hin zu Sun und Alpha. Als OS läuft neben FreeBSD, Solaris, RH 5.x - 7.x, Debian, SuSE 6.2 - 7.3, die Router mit umgebauten SuSE 7.0 (K 2.4.18).

Selbstverständlich nutze ich die ifconfig Meldung nur für eine grobe Tagesübersicht - Web-, Mail-, FTP Traffic wird sauber geloggt und berechnet. Ich bin der einzigste mit Shell Account und weitere Dienste laufen nicht nach aussen (auch DNS ist "extern").

...

Wie gesagt, wenn ich kaum Daten übertragen habe und dann eine diff. von 2GB bei TX auftaucht, würd mich sowas schon stutzig machen, da sein

RX RX - Empfangene Bytes TX - Versendete Bytes

...

Rechner das allerdings empfangen hat, tippe ich ehr auf ein anderes "redseliges" (ggf. fehlkonfiguriertes) Gerät im Netz.

Das müsste doch dann aber regelmässig passieren?!

Nicht unbedingt.

...

Ich meine er sollte als erstes mal den Versuch starten, festzustellen woher der Traffic kommen könnte.

tcpdump & co. können da Wunder bewirken.

Ja, ich könnte natürlich zu so einer Massnahme greifen und sobald sich der ifconfig Wert "wieder verschiebt" mal drübersehen.

...

Bei einer Firma hatten wir mal folgendes: Dort war die Netzwerklast durch Broadcasts höher als durch die übertragenen Daten!

Wie gesagt: das müsste doch dann eigentlich regelmässig der Fall sein. Es ist bisher zwei mal vorgekommen einmal am Monatsende und diesen Monat am 12. oder so (bin mir gerade nicht sicher aber es war nicht am -Anfang / -Mitte / -Ende).

Probier doch mal den Traffic kontinuierlich zu protokollieren. schreib Dir ein script wie etwa folgendes: #! /bin/bash # # (c) Mirko Richter, Networks and Communicationsystems 2002 # # Voreinstellungen # IF=eth0 # Netzwerkinterface FILE=/var/log/rx.txt # Datei für Datenablage INTERVAL=300 # Intervall für Abfrage # # Prog ;)) # while true ; do TIME=`date +%Y-%m-%d\ %H:%M` TRAF=`ifconfig eth0 | grep RX\ bytes` echo $TIME $TRAF >> $FILE sleep $INTERVAL ; done Für IF, FILE, INTERVAL gib halt das an, was Dir vorschwebt. Laß dieses dann mal eine Weile im Hintergrund laufen. Du erhälst eine Datei mit unheimlich vielen Zeilen wie dieser (im Bsp. eine alle 5 min): 2002-06-20 18:07 RX bytes:2639813724 (2517.5 Mb) TX bytes:1923536430 (1834.4 Mb) Denk dran das auch mal wieder zu stoppen, bzw. auch den Intervall zu vergrößern - sonst läuft Deine Platte über ;) Schau die bei guter Laune mal an (z.B. 1-2x pro Woche), dann kannst Du sehen, wann es zu diesen großen Veränderungen kommt. Wenn nix dabei ist, lösch sie einfach. Dann kann man weitersehen :) Ansonsten schau dir ggf. mal Mrtg an. MfG Mirko -- +--[ Mirko Richter (RHCE) ]------------------------+ | + Netzwerke, Kommunikation, Computer, Service | | + Diskless Linux-Systeme | | + EPROM + FLASHROM Programmierung | |~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~| | Mirko Richter | | Networks & Communicationsystems | | Ernst-Thaelmann-Str. 5, D-06774 Soellichau | | E-MAIL: m.richter@ngi-box.de | | Tel. +49/(0)34243/3369-50 \\\\ | | Fax. +49/(0)34243/3369-28 (O O) | +-----------------------------------oOOo-(_)-oOOo--+

Moin, Bernd Obermayr schrieb am 18.06.2002 (16:41):

On Mon, 17 Jun 2002 19:13:43 +0200 Mirko Richter wrote:

[...]

...

Ich weiß zwar nicht was Du genau machen willst, aber das sollte sich mit einem kleinen script lösen lassen.

Der Satz kommt in meine Sammlung ;) Weiter so! Optimismus ist angesagt. Mit Linux kann man _alles_ machen, man muss nur wissen wie!

Passend zu http://www.thinkgeek.com/stuff/apparel/374d.shtml... SCNR either, Antje -- Do not meddle in the affairs of dragons, for you are crunchy and taste good with ketchup.