发新话题
打印

深信服AC里面的一个抓包脚本 checkpps.sh

深信服AC里面的一个抓包脚本 checkpps.sh

一般情况下PPS不会超过2000/s, 如果网络突然特别慢的时候,可以抓一下包看看是不是内网出现攻击。
以往的经验曾出现过200M/s的流量,直接就把深信服AC给搞挂了。


#!/b。in/s。h
#脚本功能:在指定网口收包超过某个pps时,自动抓取一定数量的包,存成一个文件,通常在不确定设备什么时候受到攻击或者流量异常的时候使用
#此脚本先放到 /t。mp 下, 然后按如下步骤操作
#d。os2unix /t。mp/checkpps.sh
#c。hmod a+x /t。mp/checkpps.sh
#c。p /t。mp/checkpps.sh /u。sr/s。bin/
#(/u。sr/s。bin/checkpps.sh eth0 10000 50000 &)   //注意,要带括号
#参数可自定义
#第一个表示要抓包的网口
#第二个表示收包的检测阀值,超过此数值就开始抓包
#第三个表示要抓多少包(默认值是只出10000包,另外有个超时值是6秒,意思是如果6秒内抓不够包,也会停止tcpdump)
#脚本的输出日志和抓到的包都放在 /aclog/checkpps_output/ 下面,
#已对这个文件夹做了大小不限,不会超过2G,如果超过了,则会先删除一些数据包,然后再抓。
#所以不用担心抓的包过多,多大,占用太多磁盘空间。
#此外,要注意,如果重启了设备,则需要重新手动执行脚本,如果想启动就监控,请自行添加 /e。tc/rc2.d 下的启动脚本

echo "usage: ${0} [ifname] [max recv pps] [capture packet count]"

output_dir="/aclog/checkpps_output/"
[ ! -d ${output_dir} ] && mkdir -p ${output_dir}


#pps概念:每秒数据包个数
#注意包数和包大小不是一个概念,就是说pps和流量,带宽并不是相同概念,64字节以下的小包是一个包,大于1400字节的大包,也是一个包

#要抓包的网口,一般设置成内网口就行了
IFN=$1
echo "IFN="${IFN:="eth0"}

#检测间隔,每n秒检测一次pps,一般2或3秒可以了
S。LEEP=2


#pps阀值设置:如果满足 “接收pps超过一定值” 或者 “接收但被drop的pps超过一定值” 两个条件之一,则启动抓包
#通常可以设置为实际正常上班时间网络接收pps的峰值的1.5到3倍就可以了
#比如早上10到11点eth0接收 pps是 10万 左右,那可以考虑设置成18万
#不过也要参考我们设备目前实际的性能指标,非10G版本6000平台,目前单桥单向数据一般也就是20多万的pps
#第二个条件drop包接收pps一般不需要管,设成一个较大的值就可以了(相当于忽略这条件)

RECV_PPS=$2
echo "RECV_PPS="${RECV_PPS:=10000}


#下面的参数是指启动抓包后,要抓多少个包才停止。
#注意不能抓太多,如果太多,可能文件会很大,占空间,也不好拷回来
#例如800Mbps的带宽(通常指下行,单向),1秒的数据包总大小,就是100MB左右了(除8,1字节等于8比特)
#可以根据实际正常的网络流量估算和估算的数据包大小,抓若干秒或几十秒的数据即可
#比如正常pps是2000,你可以抓10秒的数据,就是20000包,以每包1KB大包来算,大概就是10几MB
PKT_CNT=$3
echo "PKT_CNT="${PKT_CNT:=100000}

#抓包日志路径
LOGF=${output_dir}/${IFN}.log


LASTRX=0
LASTTX=0
LASTRB=0
LASTTB=0

START=0
END=0


RX_PACKTS="rx_packets:"
TX_PACKTS="tx_packets:"
RX_BYTES="rx_bytes:"
TX_BYTES="tx_bytes:"


#判断是否为万兆网卡
driver=`ethtool -i ${IFN} | g。rep "driver" | a。wk -F ":" '{ print $2 }'`
if [ ${driver} = "ixgbe" ] ; then
        RX_PACKTS="rx_pkts_nic:"
        TX_PACKTS="tx_pkts_nic:"
        RX_BYTES="rx_bytes_nic:"
        TX_BYTES="tx_bytes_nic:"
fi

loop=1





原文: https://morphyhu.szitcare.com/wordpress/?p=399

[ 本帖最后由 linda 于 2018-5-28 22:13 编辑 ]

TOP

发新话题