TrafMeter :: Paket Logging

Paket Logging (in der Lite Version nicht verfügbar)

TrafMeter kann die erfassten Daten in ein Textfile oder in eine Datenbank schreiben. Zu diesem Zweck besitzt jeder Filter ein spezielles Feature: den "Paketsammler". Der Grundgedanke der Paketsammler war die riesige Datenmenge, die beim Logging jedes einzelnen Pakets anfallen würde. Mit dem Paketsammler werden Pakete mit identischen Parametern zusammengefasst und können dann in ein Textfile oder in eine Datenbank dauerhaft gespeichert werden. Der Paketsammler stellt somit den Speicherort für die verarbeiteten Pakete dar und kann bis zu 1000 Positionen umfassen. Eine Position besteht aus folgenden IP Daten:

IP protocol type (1 - ICMP, 6 - TCP, 17 - UDP and etc.
Siehe c:\winnt\system32\drivers\etc\protocols.txt or RFC 1700 for details)
die Ursprungs- und Ziel-IP-Adresse
die Ursprungs- und Ziel-MAC-Adresse
source and destination ports (for TCP and UDP only)
die Zähler für gesendete und empfangene Bytes
TOS (Type of Service) Feld

Der Prozess "Paketsammler leeren" erzwingt ein Schreiben der noch im Speicher befindlichen Daten in den angegebenen Speicherort (Textfile oder Datenbank). Der Paketsammler wird in einem definierbaren regelmäßigen Zeitintervall geleert (Standard: 20 Sekunden). Zu häufiges Leeren beansprucht das System unnötig. Zu seltenes Leeren kann zu einem Overflow im Paketsammler führen. Dieses Ereignis wird in den Logfiles mit dem Text "Packet Collector is full" aufgezeigt. Gelöst wird das Problem mit einer Reduzierung des Intervalls.

Die dynamischen Ports verdichten (nur für TCP und UDP)

Ein Webbrowser verwendet meist mehrere TCP Verbindungen um die Inhalte einer Webseite zu laden. Die Charakteristik dieser Pakete ist praktisch gleich, aber belasten den Paketsammler in signifikanter Weise. Da sich die Pakete nur in der Client-IP-Port unterscheiden und es sich hierbei sowieso nur um IP-Ports aus dem dynamischen Raum (1024-65535) handelt, fasst TrafMeter diese Pakete unter einer einheitlichen Client-IP-Port (65535) zusammen.

Da Client-IP-Port Angaben aus dem dynamischen Bereich der Ports unnütz sind, komprimiert/verdichtet TrafMeter diese Pakete standardmäßig, bevor diese geschrieben werden.

Wie unterscheidet TrafMeter die dynamischen Ports von den nicht-dynamischen?

Es gibt 2 Wege:

Wenn in einem Paket einer der Ports im Bereich 1024-65535 und der andere Port im nicht-dynamischen Bereich (1-1024) liegt.
Für eine neue TCP Verbindung wird das SYN flag analysiert. Die Seite, die das SYN flag setzt, ist jene Seite, die die Verbindung initialisiert. Somit ist dies auch jene Seite, die dynamische Ports verwendet.

Siehe auch: