ZSNET5 2015-11

말씀하신 그대로,
"Out은 서버에서 나가는 트래픽이고 In 부분은 서버로 요청이 들어오는 트래픽" 입니다.
서버가 뭘 하는지 모르겠지만, 통상적인 운용과는 완전히 반대군요. 보통은 아웃바운드 트래픽이 많은데..
무슨 서비스를 하는지 대충이라도 알아야 조언을 드릴 수 있고, WEB서버 "만" 돌리신다면 일반적인 케이스에서는 비정상인 것으로 판단합니다.

밥한끼 2015-11

일반적인 웹서버입니다. 하나의 서버에 다수의 도메인이 세팅되어 있습니다.

박 2015-11

바이러스와 해킹툴도 확인해보시고, 트래픽도 좀 분석해보셔야할듯합니다.
윗분말씀대로 트래픽 패턴이 일반적인 웹서버의 반대입니다.
MRTG를 어떻게 세팅하셨는지 모르겠지만 IN/OUT이 반대로 된 모습이기도 합니다.
트래픽의 정체를 파악하기위해서 아파치로그를 뒤져보셔도 되고 여의치않을경우 tcpdump로 패킷을 잡아서 확인해보는 방법도 있습니다.

밥한끼 2015-11

네 tcpdump 관련 찾아보겠습니다.

박 2015-11

패킷분석은 마지막 방법이구요, 웹서버이니 80포트 트래픽이라 가정하고, 웹로그부터 먼저 확인해보세요.
아파치로그에 보시면 전송한 데이터크기가 나옵니다.
로그 몇십분정도어치 덜어내서 cut 등으로 잘라서 다 합한 후, 평균값을 MRTG의 값과 비교하여 많이 다르면 웹트래픽이 아닐수도 있으니 그때 패킷분석을하시는것이 무난합니다.

밥한끼 2015-11

네 웹로그는 몇일전 부터 계속 모니터링 하고 있었는데요. 특별하게 크게 트래픽을 차지하는 넘이 없는 것으로 보였습니다. 혹시나 싶어서 왠간한 Bot들은 모두 차단시켜 놓은 후 계속 이러니 답답할 노릇입니다. ㅜ

혹시 tcpdump 패킷 분석 노하우가 있을까요?

박 2015-11

글쎄요.. 문제를 해결하기위한 다양한 접근방법중 이런것도 있습니다.

일단 문제를 정의하자면 트래픽을 유발하는 IP와 포트를 찾자는겁니다.

L2는 의미없으니 L3/L4부터 봅니다. 쓸만한 도구로는 IDS/IPS, netstat, ntop, tcpdump, IPTraf, Iftop, vnstat, bwm-ng 상단의 방화벽, 라우터, netflow 등이 있습니다.
의미있는 결과를 얻지못하면 L5/6/7로 올라가는거죠. 가지고계신 장비와 프로그램, 웹로그등으로 확인해봅니다.
그 결과 어떤 IP에서 어떤 포트로 어떤 트래픽이 업로드되는지 알 수 있게됩니다.

그러고보니 리눅스에는 iptraf라는 멋진도구가 있었네요.
iptraf 켜고 10~20분 냅둬보세요. 트래픽 많이 일으키는  ip와 포트 확인 후 웹이라면 로그에서 IP로 확인해보면 어떤놈인지 알수 있겠네요.
tcpdump는 말그대로 최후의 수단입니다.
tcpdump 편하게 쓰시려면 패킷캡쳐해서 파일로 떨군후 PC(윈도우)에 와이어샥설치해서 불러오면 보기 좋습니다.
참고로 와이어샥에서는 L2~L7까지, 웹패킷의경우 URL은 물론, 컨텐츠와 헤더까지 다 보입니다.
예) tcpdump -i eth0 port 80 -w  eth0_20151124_01.dmp

이해하면 2015-11

mrtg 설정이 반대로 되어 있는게 아닐지요?
웹서버 로그 분석해주는 걸 설치 해서 확인해보시는건 어떨까요.?
웹질라 인가 그런 프록램이요 ^^
메니지드 스위치 라면 스위치 단에서 모니터를 해보세요.
아니면 고용량 파일을 업로드 해서 같은 시간대에 mrtg가 어떻게 변하는지 확인해봐도 될것 같아요.

박 2015-11

예.. 저도 MRTG 타겟설정이 바뀐게 아닌가싶기도 생각했는데, 트래픽모니터링의경우 보통 cfgmaker로 만드니 바뀔일이 없거든요. 혹시 직접 타겟을 지정했다면 종종 바뀌고는 하니 의심해볼만하죠.

밥한끼 2015-11

코로케이션 서비스라서 업체쪽 세팅이라 뒤바뀌진 않았을 듯 합니다. 조언 감사드립니다.

Ray 2015-11

코로케이션 받으신다면 네트워크 장비 기준 결과값이니 인과 아웃을 반대로 보셔야 합니다

밥한끼 2015-11

넵 호스팅 업체에 패킷흐름에 문제가 있다고 요청해 놓은 상태입니다. 리셋한 모양인데 순간 40GB에 피크가 찍혔네요. 아주 스펙타클 합니다. 박님께서 알려주신 IPTraf 툴로 6시간 정도 패킷량과 bytes 계산하려고 걸어놓은 상태네요.

ZSNET5 2015-11

코로케이션 받으시는 거라면, 저 그래프가 네트웍장비의 포트에서 GET한 값인지, 아니면 서버에서 GET한 값인지를 확인하셔야 하겠습니다.
Ray 님 말씀대로... 저게 네트웍장비에서 GET한 값이라면 지극히 정상이고, 서버에서 GET한 값이라면 비정상이죠.
IPTraf로 그렇게 오래 걸어놓으실 필요 없이 저녁때 10분만 봐도 답이 바로 나오겠는데요?
그리고.. 그래프 들쭉날쭉한 거야, 웹서버 로그 분석해서 전송한 트래픽만 대충 봐도 나올껍니다.
제가 보기에는 "서버입장에서" 그래프가 뒤바뀐거 외에는 정상이거든요..

밥한끼 2015-11

네 조언 감사드립니다. 호스팅 업체의 문제로 MRTG그래프가 잘못 찍혀있었던 것 같습니다. 하지만 이번 기회에 패킷덤프 파일도 살펴보고 여러모로 많은 도움이 되었습니다.