NeTAMS часть 1

[De7c3L.]

было вот так

Код: Выделить всё

if %(defined {$session{page}{contmenu}} || defined %{$session{page}{contbox}}) {

Убрал везде %, вроде терперь все нормально.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Sun]

Блин что то разобраться не могу,не работает и все...

rc.conf

Код: Выделить всё

hostname="192.168.10.3"
sshd_enable="YES"

gateway_enable="YES"

ifconfig_le0="inet 192.168.10.3 netmask 255.255.255.0"
ifconfig_le1="inet 192.168.11.1 netmask 255.255.255.0"

named_enable="YES"
named_flage="-u bind"

firewall_enable="YES"
firewall_script="/usr/local/etc/ipfw.conf"

natd_enable="YES"
natd_interface="le0"
natd_flags="-f /etc/natd.conf"

apache22_enable="YES"
mysql_enable="YES"
netams_enable="YES"
mpd_enable="YES"

ipfw.conf

Код: Выделить всё

#!/bin/sh
################################<-< Параметры файра >->################################
fwcmd="/sbin/ipfw -q"
#--------------------------------------------------------------------------------------
# Внешний интерфейс
oif="le0"
oip="192.168.10.3"
#--------------------------------------------------------------------------------------
# Внутренний интерфейс
iif="le1"
iip="192.168.11.1"
MyLan="192.168.11.0/24"
#--------------------------------------------------------------------------------------
################################<-< Описания файрвола >->##############################
# Сбрасываем все правила
${fwcmd} 100 flush -f
# Проверяем - соответствует ли пакет динамическим правилам:
${fwcmd} 110 add check-state
#=======================================================================================
#---------------------------------------------------------------------------------------
# Разрешаем весь траффик по внутреннему интерфейсу (петле)
${fwcmd} 120 add allow ip from any to any via lo0
# рубим попытки lo0 куда-то лезть и откуда-то лезть на lo0
${fwcmd} 130 add deny ip from any to 127.0.0.0/8
${fwcmd} 140 add deny ip from 127.0.0.0/8 to any
#=======================================================================================
#---------------------------------------------------------------------------------------
# NeTAMS-NAT-NeTAMS-out
${fwcmd} 150 add divert 199 ip from ${MyLan} to any out xmit ${oif}
${fwcmd} 160 add divert 8668 ip from ${MyLan} to any out xmit ${oif}
# NeTAMS-NAT-NeTAMS-in
${fwcmd} 170 add divert 8668 ip from any to me in recv ${oif}
${fwcmd} 180 add divert 199 ip from any to ${MyLan} in recv ${oif}
#=======================================================================================
#---------------------------------------------------------------------------------------
# разрешаем все установленные соединения
${fwcmd} 200 add allow tcp from any to any established
# разрешаем весь исходящий траффик серверу
${fwcmd} 210 add allow ip from ${oip} to any out xmit ${oif}
# разрешаем DNS снаружи
${fwcmd} 220 add allow udp from any 53 to any via ${oif}
# разрешаем некоторые типы ICMP траффика - эхо-запрос, эхо-ответ и время жизни пакета истекло
${fwcmd} 230 add allow icmp from any to any icmptypes 0,8,11
#========================================================================================
#----------------------------------------------------------------------------------------
# открываем снаружи 22 порт - если надо будет ходить на машину по ssh
${fwcmd} 300 add allow tcp from any to ${oip} 22 via ${oif}
# открываем снаружи 80 порт - если у нас есть WWW сервер на машине
${fwcmd} 310 add allow tcp from any to ${oip} 80 via ${oif}
# открываем снаружи 21 порт - если у нас есть FTP сервер на машине
${fwcmd} 320 add allow tcp from any to ${oip} 21 via ${oif}
#========================================================================================
#----------------------------------------------------------------------------------------
# разрешаем весь tcp траффик внутри локалки (на внутреннем интерфейсе)
${fwcmd} 500 add allow tcp from any to any via ${iif}
# разрешаем весь udp траффик внутри локалки (на внутреннем интерфейсе)
${fwcmd} 510 add allow udp from any to any via ${iif}
# разрешаем весь icmp траффик внутри локалки (на внутреннем интерфейсе)
${fwcmd} 520 add allow icmp from any to any via ${iif}
#========================================================================================
#----------------------------------------------------------------------------------------
# запрещаем всё и всем
${fwcmd} 65535 add deny ip from any to any
#========================================================================================

netams.conf

Код: Выделить всё

#NeTAMS 3.4.1 (3446.1) root@192.168.10.3 / Mon Mar  9 11:54:36 UTC 2009^M
#configuration built Mon Mar  9 12:51:33 2009^M
#begin^M
#global variables configuration^M
debug none^M
language ru^M
user oid 021016 name admin real-name "Admin" crypted $1$$HpXmjtul/3i1.bf.B27bU. email root@localhost permit all^M
^M
#services configuration^M
^M
service server 0^M
login local^M
listen 20001^M
max-conn 6^M
^M
service processor^M
lookup-delay 60^M
flow-lifetime 180^M
policy oid 05311C name ip target proto ip^M
restrict all pass local pass^M
unit net oid 07612E name lan ip 192.168.11.0/24 description "net 192.168.11.0" password 123 no-local-pass acct-policy ip^M
unit host oid 0C7A9E name server ip 192.168.11.1 acct-policy ip^M
unit host oid 07EC4E name john ip 192.168.11.2 description AdminKo password 123 acct-policy ip^M
unit host oid 0D94D3 name lamer ip 192.168.11.3 description UzWer password 123 acct-policy ip^M
^M
service storage 1^M
type mysql^M
host localhost^M
user netams^M
password netams^M
dbname netams^M
accept all^M
^M
service data-source 1^M
type ip-traffic^M
source divert 199^M
layer7-detect urls^M
^M
service alerter 0^M
report oid 06100 name rep1 type traffic period day detail simple^M
smtp-server localhost^M
^M
service html^M
path /usr/local/www/netams/stat^M
run 10min^M
url http://192.168.11.1/netams/^M
htaccess yes^M
client-pages all^M
account-pages none^M
^M
^M
service login^M
relogin yes^M
^M
service scheduler^M
oid 08FFFF time 10min action "html"^M
^M 
^M
#end^M

Не понимаю в чем дело, машина за фрей не может до инета достучаться При этом при пинговании удаленный адрес не пингуется,но резолвиться

[гость]

здравствуйте.
делал полностью как по статье, за исключением того что хочу собирать инфу с кошки, на ней все настроено и она отдает по нетфлоу. конфиг нетамса таков

Код: Выделить всё

service storage 1
type mysql
host localhost
user netams
password netams
accept all

service data-source 1
type netflow
source 192.168.0.1
listen 192.168.0.25 20001

при старте в логах выдает

Код: Выделить всё

06.04.2009 18:46:52.8592 processor:0 [WARN]: SQL Load data: Malformed packet
06.04.2009 18:46:52.8599 processor:0 [WARN]: mysql show command failed: Lost connection to MySQL server during query
06.04.2009 18:46:52.8599 processor:0 [WARN]: mysql show command failed: MySQL server has gone away
06.04.2009 18:46:52.8599 processor:0 [WARN]: Failed load data into sql for summary try "debug storage"
06.04.2009 18:46:52.8600 processor:0 [ERR]: mysql select failed: MySQL server has gone away
06.04.2009 18:46:52.8622 main:0 [WARN]: SQL Load data: Malformed packet
06.04.2009 18:46:52.8626 main:0 [WARN]: mysql show command failed: Lost connection to MySQL server during query
06.04.2009 18:46:52.8627 main:0 [WARN]: mysql show command failed: MySQL server has gone away
06.04.2009 18:46:52.8627 main:0 [WARN]: Failed load data into sql for events try "debug storage"

что ему не хватает? база создана, пользователь то же.
спасибо!

[гость]

забыл написать, если посмотреть ч\з веб морду конфиг, то

Код: Выделить всё

service storage 1
type mysql
user net
password net
accept all

имена совсем другие((

[schizoid]

что-то не там правите...ну или рестарт не делали...

[hanko]

Кто использовал NeTAMS с ipfw + ipnat ?

[ае845]

1. FreeBSD 7.2 NetAMS 3.4.2
2. Есть несколько организаций, работающих в разных VLAN, имеющих разные подсети.
3. Настроен подсчет трафика через libpcap. Все работает. Через HTTP доступ администратор видит общую картину.
4. Нужно дать пользователям HTTP доступ к серверу, чтобы они видели статистику по трафику для IP адресов только своей внутренней подсети.

Прошу совета, можно ли это сделать, если да, то куда копать?

Конфиг:

#NeTAMS 3.4.2 (3463.1) root@LTS-NetAMS-SRV.L-TS.RU / Mon, 19 Oct 2009 15:42:12 +0400
#configuration built Tue Oct 27 11:33:09 2009
#begin
#global variables configuration
debug none
language ru
user oid 02EFD7 name admin real-name "Admin" crypted $1$$lt4jfd08/kCkN1Y7lxoDJ/ email root@localhost permit all

#services configuration

service server 0
login local
listen 20001
max-conn 6

service processor
lookup-delay 30
flow-lifetime 60
policy oid 034649 name ip target proto ip
policy oid 000001 name local-traffic target file /usr/local/etc/local.txt
policy oid 000002 name www target proto tcp port 80 81 8080 3128
policy oid 000003 name mail target proto tcp port 25 110
default acct-policy %local-traffic www mail ip
restrict all pass local pass
auto-units 1 type host naming prefix2 10.150. group LTS
auto-units 2 type host naming prefix2 10.150. group Unigroup
auto-units 3 type host naming prefix2 10.150. group Prestizh
unit group oid 028A31 name LTS
unit group oid 06E38D name Unigroup
unit group oid 0AD125 name Prestizh
unit net oid 0EB1B2 name LAN-10.150.31.0 ip 10.150.31.0/24 auto-units 1
unit net oid 0D1116 name LAN-10.150.116.0 ip 10.150.116.0/24 auto-units 2
unit net oid 09C917 name LAN-10.150.38.0 ip 10.150.38.0/24 auto-units 3
unit net oid 00D450 name LAN-10.150.30.0 ip 10.150.30.0/24 auto-units 1
unit net oid 08258F name LAN-10.150.44.0(DMZ1) ip 10.150.44.0/24 auto-units 1
unit net oid 0215F9 name LAN-10.150.40.0(DMZ2) ip 10.150.40.0/24 auto-units 1
unit host oid 049933 name 10.150.116.24 ip 10.150.116.24 parent Unigroup
unit host oid 04FBBD name 10.150.38.7 ip 10.150.38.7 parent Prestizh
unit host oid 05589D name 10.150.31.101 ip 10.150.31.101 parent LTS
....................... списко сгенерированных юнитов .......................
service storage 1
type mysql
host localhost
user root
password Password
accept all

service data-source 1
type libpcap
source bge1 promisc
rule 11 "ip"

service login
relogin yes

service quota
policy ip
notify soft owner
notify hard owner
notify return owner

service html
path /usr/local/www/data/stat
run 5min
url http://10.150.31.106/stat/
htaccess yes
client-pages all
account-pages all

service scheduler
oid 055CC2 time 1day action "save"
oid 08FFFF time 5min action "html"

[Alex Keda]

оформите сообщение нормально.
для начала.

[Zemskov]

мне кажется ае845 думает про .htaccess

[ft845]

Прошу меня извинить, если я не правильно оформил тему. На Вашем форуме я первый раз, да и на других больше читаю, чем пишу.
Если Вы мне подскажете, что я "вытворил" не так, исправлю с радостью
Тов. Zemskov прав.
Мне нужно настроить WEB доступ для пользователей. Вот только указание паролей в строке:
unit group oid XXX name Group_NAME password Password
результата не дает.
В файле /usr/local/www/data/stat/.htpasswd записи для пользователей появляются, но пускать к статистике разрешает только для админа прописанного в
/usr/local/etc/netams.conf
в секции MAIN

[Zemskov]

а что вам мешает ручками поправить .htaccess?

[ft845]

Мешает отсутствие знания, что туда писать надо

[Zemskov]

мне кажется ае845 думает про .htaccess

тогда втыкаем в ссылку и изучаем вопрос на предмет авторизации и аутентификации!!! (первая ссылка а там "Защита паролем" и "Запрет доступа клиенту")

[ft845]

Я понял, что не правильно поставил вопрос.
За ссылку спасибо. Да и за грамотные советы тоже... Как разграничивать доступ через апач я в курсе.
Вот только давать каждому клиенту ссылку на его страницу статистики- решение не очень красивое.
А давать доступ к главной странице, где светятся все клиенты- не правильно.
Я хотел, чтобы для всех был один URL, и в зависимости от введенной пары логин/пароль отображалась страница статистики конкретного клиента.

[Zemskov]

А давать доступ к главной странице, где светятся все клиенты- не правильно.

конечно не правильно...
Нарисуйте свою стартовую страницу с приветствием и новостями, при авторизации на которой и будет формироваться ссылка на личную статистику, ссылку формировать по логину/паролю, естественно до сервера ограничить доступ только из нужных подсетей.
ЗЫ
*OFF TOP* а время то уже зимнее, пора бы часики перевести

[qstatix]

ну раз у про нетамс, который много лет юзаю, то тоже отпишусь.

начну с того, что был выбор между нетамсом abilling и freenibs

и принциписально было поднять удобную вебморду.
Сеть большого вуза, думали за впн или простую привязку к IP.
собрал ВПН(мпд) + фринибс.
показал руководству. Но они поняв что прийдетя раздавать логины пароли и что народ будет это дело терять, названивать и прочее, тему в впн развернуло.(ну неправильное решение конечно, но тут я ничего не мог поделать).

Потом посавил нетамс, который встал в полпинка и сразу заработал. НО как оказалось родная вебморда у него ужасная и пришлось ставить а 3.3.5 + последнюю рабочую nawt 2.0.5.

все оно работает прекрасно, НО проект nawt заглох и обновиться до нового нетамса я не могу(ибо мне нужна понятная вебморда, которой могут пользоваться пару сотрудников). Допиливать nawt самому нет ни желания ни времени. Хотя возможно и стоило бы! К тому же эта штука на перле, который я не трогал уже лет 6-ть. Было бы оно на пхп может еще из спортивнго интереса и попробовал бы.

Еще напишу одну приятно-неприятную штуку. купили мы значит очень бюджетную и очень мерзкую procurve 7102dl. Лучше бы взяли циску б.у. Но не суть. Суть в том, что прикрутил я на курве авторизацию по радиусу. а вот радиус может забирать информацию по акаунту из нетамса. То есть была бы просто сказка. Оно на циске с полноценным ААА должно работать идеально вплоть до выставления дополнительных параметров и скоростей, прямо из базы нетамся. Но вот наша курва может только авторизаваться, но при этом не забирает айпишник выдаваемый радиусом из нетамса, а берет только из своего пула. И не сообщеат выдаваемый айпищник радиусу(его можно было бы передать в нетамс). В общем может оно это все и умеет но не доков ни саппорта нет(тупо не отвечают). А так на компе в клиенте пихаешь логин пароль в впн соединение. оно конектится к курве, та к радиусу, радиус спрашивает нетамс и дает добро или режет. И всем этим чудом можно управлять через приятную вебморду NAWT.

Отсюда выводы. нетамс вполне может быть базой для радиуса, а следовательно и для ВПН сервера и т.п., выдавать данные по уккаунту(ну это все и в описалове есть)
НО нужна вебморда и нужна нормальная вменяемая железка (или уж мпд настроеный под радиус), которая полноценно дружит с радиусом.
Нетамс штука зачетная.

[polnet]

Всем добрый день!
Решил на FreeBSD-8 (AMD64) установить NeTAMS.
Установил Мускуль, Апач, но сборка из портов оканчивается ошибкой.
Спрашивал помощи у знакомых кто хорошо знает BSD, так они мне сказали что этот порт не для AMD64 мол ставь на BSD-i386
Установил на комп BSD-i386 но установка все равно оканчивается ошибкой.
Куда уже копать не знаю. Задал вопрос на офсайте, так ответа не последовало. Одна надежда на вас.

[schizoid]

ну собсна телепаты в отпуске
лог ошибки для начала хотя бы

[polnet]

Вот что выдает консоль:

Код: Выделить всё

hostel5# make install                                                                                                        
===>  Vulnerability check disabled, database not found                                                                       
===>  Extracting for netams-3.4.2                                                                                            
===>  Vulnerability check disabled, database not found                                                                       
=> MD5 Checksum OK for netams-3.4.2.tar.gz.                                                                                  
=> SHA256 Checksum OK for netams-3.4.2.tar.gz.                                                                               
===>  Patching for netams-3.4.2                                                                                              
===>  Configuring for netams-3.4.2                                                                                           
===>  Building for netams-3.4.2                                                                                              
sh configure.sh
##########################################################
## Configuring NeTAMS for build targets...            ##
FreeBSD operating system...
With FreeBSD 5 and above will have netgraph module...
Optional features: Use_cli_enable BW_limit Fast_FW_checks Layer7_filter Hash_database
Will have MYSQL support
        [ /usr/local/lib/mysql  /usr/local/include/mysql ]
Will have BILLING service
Will have DEBUG flag set
Will have RADIUS support
Will have PAM support (experimental)
## Configuration file was built.                              ##
##########################################################
cd lib && make library
gcc -g -Wall -pipe -O2 -I../src -I./ -DFREEBSD -DHAVE_BW -DFAST_FW_CHECK -DLAYER7_FILTER -DUSE_MYSQL -I/usr/local/include/mysql -DHAVE_BILLING -DDEBUG -DUSE_LIBRADIUS -DHAVE_PAM -I ../src -I./radlib -c radlib/radlib.c
ar rc libradius.a radlib.o
gcc -g -Wall -pipe -O2 -I../src -I./ -DFREEBSD -DHAVE_BW -DFAST_FW_CHECK -DLAYER7_FILTER -DUSE_MYSQL -I/usr/local/include/mysql -DHAVE_BILLING -DDEBUG -DUSE_LIBRADIUS -DHAVE_PAM -Wno-format-zero-length -I./libcli -c libcli/libcli.c
libcli/libcli.c: In function 'cli_print':
libcli/libcli.c:1789: warning: passing argument 3 of '_print' discards qualifiers from pointer target type
libcli/libcli.c: In function 'cli_error':
libcli/libcli.c:1798: warning: passing argument 3 of '_print' discards qualifiers from pointer target type
ar rc libcli.a libcli.o
gcc -g -Wall -pipe -O2 -I../src -I./ -DFREEBSD -DHAVE_BW -DFAST_FW_CHECK -DLAYER7_FILTER -DUSE_MYSQL -I/usr/local/include/mysql -DHAVE_BILLING -DDEBUG -DUSE_LIBRADIUS -DHAVE_PAM -c lib.c
ar rc libnetams.a lib.o
cd src && make all
touch opt_netgraph.h
make -f Makefile.kmod
"/usr/share/mk/bsd.kmod.mk", line 12: "can't find kernel source tree"
*** Error code 1

Stop in /root/freebsd-port/work/netams-3.4.2/src.
*** Error code 1

Stop in /root/freebsd-port/work/netams-3.4.2.
*** Error code 1

Stop in /root/freebsd-port.
*** Error code 1

Stop in /root/freebsd-port.
hostel5#

[schizoid]

Код: Выделить всё

"/usr/share/mk/bsd.kmod.mk", line 12: "can't find kernel source tree"
*** Error code 1

исходники ему нужны что-ли?

[polnet]

Судя по мануалу исходники не требуются.
Да и когда из портов собираешь прогу она же не требует исходники, они сами подгружаются.

[schizoid]

bsd.kmod.mk требует исходники

[aliet]

Добрый день!
Есть задача считать трафик:
1. просто в инет (pppoe создает интерфейс tun0)
2. междуофисный трафик (идет тоже через интернет, через интерфейс gif0)
считать буду дивертом
В связи с этим вопрос - стоит ли делать два service data-source и соответственно два диверта с каждого интерфейса? или можно обойтись одним? как сделать правильнее?

[schizoid]

мне кажется лучше 2 разных сделать. удобнее наверно будет. ноя не пробовал...

[aliet]

Ладно, попробую двумя...
Ещё пара вопросов, возможно немного не по теме:
1. как настроить havp в качестве прозрачного прокси, без сквида? Задача - просто проверять http на вирусы.
2. Как подружить прозрачную проксю и нетамс? подойдет ли для havp решение вопроса из темы "дружим с прозрачным squid"?