vnstat 는 콘솔 환경 트래픽 측정 툴이며 리눅스와 BSD 계열에서 사용이 가능합니다.
아래 사이트에서 다운로드 한후 설치를 진행합니다.

http://humdi.net/vnstat/

[root@ruo91 ~]# cd /usr/local/src
[root@ruo91 ~]# wget http://humdi.net/vnstat/vnstat-1.9.tar.gz
[root@ruo91 ~]# tar xzvf vnstat-1.9.tar.gz
[root@ruo91 ~]# cd vnstat-1.9
[root@ruo91 ~]# make && make install
[root@ruo91 ~]# touch /var/lib/vnstat/eth0

crontab 에 매 5분 마다 실행 하도록 아래 내용 추가 합니다.

[root@ruo91 ~]# echo '*/5 * * * * vnstat -u -i eth0' >> /etc/crontab
[root@ruo91 ~]# service crond restart
crond 를 정지 중: [  OK  ]
crond (을)를 시작 중: [  OK  ]

vnstat 기본 사용법은 vnstat -u -i eth0 이며 -i 옵션 뒤에는 트래픽을 측정할 NIC(Network Interface Card)를 입력 해주시면 됩니다.

vnstat 실행

[root@ruo91 ~]# vnstat
Database updated: Tue Oct 27 12:53:56 2009

   eth0 since 10/27/09

          rx:  350.88 MiB      tx:  2.34 MiB      total:  353.22 MiB

   monthly
                     rx      |     tx      |    total    |   avg. rate
     ------------------------+-------------+-------------+---------------
       Oct '09    350.88 MiB |    2.34 MiB |  353.22 MiB |    1.26 kbit/s
     ------------------------+-------------+-------------+---------------
     estimated       408 MiB |       2 MiB |     410 MiB |

   daily
                     rx      |     tx      |    total    |   avg. rate
     ------------------------+-------------+-------------+---------------
         today    350.88 MiB |    2.34 MiB |  353.22 MiB |   62.31 kbit/s
     ------------------------+-------------+-------------+---------------
     estimated       652 MiB |       3 MiB |     655 MiB |

옵션 사용 예
시간별

[root@ruo91 ~]# vnstat -h
 eth0                                                                     21:25
  ^           r
  |           r
  |           r                                            r
  |        r  r                                            r
  |      t r  r                                            r            t
  |     rt r  r                                            r  r      t  t
  |     rt r  r                                            r  r      t  t
  |     rt r  r         t                      r           r  r      t  t
  |     rt r  rt        t                   r  r        r  rt rt  t rt rt  t
  |  rt rt rt rt rt r  rt r              r  r  r  r  rt rt rt rt rt rt rt  t
 -+--------------------------------------------------------------------------->
  |  22 23 00 01 02 03 04 05 06 07 08 09 10 11 12 13 14 15 16 17 18 19 20 21

 h  rx (KiB)   tx (KiB)      h  rx (KiB)   tx (KiB)      h  rx (KiB)   tx (KiB)
22    250,801    205,825    06    100,529     49,054    14    205,356    157,877
23    705,144    885,844    07     52,806     44,130    15    258,228    226,265
00    928,792    224,789    08     52,298     45,230    16  1,028,043    343,843
01  1,271,180    292,260    09     70,396     61,719    17    755,804    293,309
02    212,296    186,481    10    155,502     72,451    18    235,691    284,886
03    165,931     91,943    11    266,673     92,497    19    275,554    658,386
04    150,997    437,071    12    392,244    122,185    20    307,819    850,813
05    180,170     56,391    13    133,829    120,555    21    117,474    292,787

하루(매일) 측정시

[root@ruo91 ~]# vnstat -d

 eth0  /  daily

         day         rx      |     tx      |    total    |   avg. rate
     ------------------------+-------------+-------------+---------------
      07/03/09     10.90 GiB |    6.39 GiB |   17.29 GiB |    1.68 Mbit/s
      07/04/09     21.21 GiB |    5.65 GiB |   26.87 GiB |    2.61 Mbit/s
      07/05/09     10.58 GiB |    6.67 GiB |   17.25 GiB |    1.67 Mbit/s
      07/06/09     49.90 GiB |    9.69 GiB |   59.59 GiB |    5.79 Mbit/s
      07/07/09     28.09 GiB |    7.58 GiB |   35.68 GiB |    3.46 Mbit/s
      07/08/09     17.60 GiB |    6.83 GiB |   24.43 GiB |    2.37 Mbit/s
      07/09/09     20.80 GiB |   15.64 GiB |   36.44 GiB |    3.54 Mbit/s
      07/10/09     16.10 GiB |   11.14 GiB |   27.24 GiB |    2.64 Mbit/s
      07/11/09      9.79 GiB |    4.96 GiB |   14.76 GiB |    1.43 Mbit/s
      07/12/09      9.36 GiB |    9.60 GiB |   18.97 GiB |    1.84 Mbit/s
      07/13/09     11.26 GiB |    8.16 GiB |   19.42 GiB |    1.89 Mbit/s
      07/14/09     32.65 GiB |    9.56 GiB |   42.21 GiB |    4.10 Mbit/s
      07/15/09     35.32 GiB |   15.55 GiB |   50.88 GiB |    4.94 Mbit/s
      07/16/09     20.71 GiB |   15.24 GiB |   35.95 GiB |    3.49 Mbit/s
      07/17/09     15.10 GiB |   15.34 GiB |   30.44 GiB |    2.95 Mbit/s
      07/18/09     14.23 GiB |    5.20 GiB |   19.44 GiB |    1.89 Mbit/s
      07/19/09     23.59 GiB |    6.73 GiB |   30.32 GiB |    2.94 Mbit/s
      07/20/09     36.36 GiB |    7.53 GiB |   43.90 GiB |    4.26 Mbit/s
      07/21/09     28.11 GiB |    6.06 GiB |   34.16 GiB |    3.32 Mbit/s
      07/22/09     20.80 GiB |   15.36 GiB |   36.16 GiB |    3.51 Mbit/s
      07/23/09     18.20 GiB |   10.71 GiB |   28.91 GiB |    2.81 Mbit/s
      07/24/09     13.07 GiB |    6.25 GiB |   19.33 GiB |    1.88 Mbit/s
      07/25/09      9.74 GiB |    6.38 GiB |   16.11 GiB |    1.56 Mbit/s
      07/26/09     11.51 GiB |    6.66 GiB |   18.17 GiB |    1.76 Mbit/s
      07/27/09     16.68 GiB |    9.18 GiB |   25.86 GiB |    2.51 Mbit/s
      07/28/09     17.06 GiB |    6.61 GiB |   23.67 GiB |    2.30 Mbit/s
      07/29/09     23.19 GiB |    7.21 GiB |   30.41 GiB |    2.95 Mbit/s
      07/30/09      9.34 GiB |    7.79 GiB |   17.13 GiB |    1.66 Mbit/s
      07/31/09     19.19 GiB |    8.63 GiB |   27.82 GiB |    2.70 Mbit/s
      08/01/09     17.13 GiB |   10.50 GiB |   27.63 GiB |    2.81 Mbit/s
     ------------------------+-------------+-------------+---------------
     estimated     17.94 GiB |   11.00 GiB |   28.94 GiB |

월별(monthly)

[root@ruo91 ~]# vnstat -m

 eth0  /  monthly

      month         rx      |      tx      |    total     |   avg. rate
    ------------------------+--------------+--------------+---------------
     Nov '08      74.94 GiB |    96.48 GiB |   171.42 GiB |  554.76 kbit/s
     Dec '08     279.32 GiB |   276.05 GiB |   555.37 GiB |    1.74 Mbit/s
     Jan '09     324.34 GiB |   413.38 GiB |   737.72 GiB |    2.31 Mbit/s
     Feb '09     273.73 GiB |   362.49 GiB |   636.22 GiB |    2.21 Mbit/s
     Mar '09     353.50 GiB |   270.03 GiB |   623.53 GiB |    1.95 Mbit/s
     Apr '09     361.74 GiB |   365.01 GiB |   726.74 GiB |    2.35 Mbit/s
     May '09     345.62 GiB |   440.43 GiB |   786.05 GiB |    2.46 Mbit/s
     Jun '09     758.45 GiB |   359.30 GiB |     1.09 TiB |    3.62 Mbit/s
     Jul '09     609.40 GiB |   282.21 GiB |   891.61 GiB |    2.79 Mbit/s
     Aug '09      17.13 GiB |    10.50 GiB |    27.63 GiB |    2.81 Mbit/s
    ------------------------+--------------+--------------+---------------
    estimated    556.15 GiB |   340.85 GiB |   897.00 GiB |

상위 10 순위 출력

[root@ruo91 ~]# vnstat -t

eth0 / top 10

# day rx | tx | total | avg. rate
-----------------------------+-------------+-------------+---------------
1 06/24/09 80.56 GiB | 10.47 GiB | 91.03 GiB | 8.84 Mbit/s
2 06/09/09 49.11 GiB | 21.65 GiB | 70.76 GiB | 6.87 Mbit/s
3 06/15/09 38.01 GiB | 28.77 GiB | 66.78 GiB | 6.48 Mbit/s
4 06/26/09 53.03 GiB | 10.57 GiB | 63.60 GiB | 6.17 Mbit/s
5 07/06/09 49.90 GiB | 9.69 GiB | 59.59 GiB | 5.79 Mbit/s
6 06/25/09 47.32 GiB | 10.11 GiB | 57.43 GiB | 5.58 Mbit/s
7 02/20/09 19.15 GiB | 37.55 GiB | 56.70 GiB | 5.50 Mbit/s
8 02/02/09 20.65 GiB | 34.03 GiB | 54.68 GiB | 5.31 Mbit/s
9 01/14/09 20.00 GiB | 32.99 GiB | 52.99 GiB | 5.14 Mbit/s
10 04/26/09 32.37 GiB | 19.22 GiB | 51.59 GiB | 5.01 Mbit/s
-----------------------------+-------------+-------------+---------------

매주 측정한 값 보기

[root@ruo91 ~]# vnstat -w

 eth0  /  weekly

                      rx      |     tx      |    total    |   avg. rate
   ---------------------------+-------------+-------------+---------------
    last 7 days    114.11 GiB |   56.58 GiB |  170.69 GiB |    2.38 Mbit/s
      last week    137.79 GiB |   58.96 GiB |  196.75 GiB |    2.73 Mbit/s
   current week    102.60 GiB |   49.92 GiB |  152.52 GiB |    2.49 Mbit/s
   ---------------------------+-------------+-------------+---------------
      estimated    121.38 GiB |   59.06 GiB |  180.44 GiB |

5초 동안 트래픽 측정

[root@ruo91 ~]# vnstat -tr
28892 packets sampled in 5 seconds  
Traffic average for eth0

      rx        55.01 Mbit/s          4684 packets/s
      tx       588.80 kbit/s          1093 packets/s

현재 트래픽 상황을 실시간으로 기록하고 사용자가 CTRL-C 를 누르면 기록 된 것을 보여줌

[root@ruo91 ~]# vnstat -l
Monitoring eth0...    (press CTRL-C to stop)

   rx:    37.58 Mbit/s  3188 p/s          tx:      484 kbit/s   912 p/s


 eth0  /  traffic statistics

                             rx       |       tx
--------------------------------------+----------------------------------------
  bytes                    74.74 MiB  |      1.22 MiB
--------------------------------------+----------------------------------------
          max           76.68 Mbit/s  |   1.42 Mbit/s
      average           51.02 Mbit/s  |   832.67 kbit/s
          min           36.86 Mbit/s  |   484 kbit/s
--------------------------------------+----------------------------------------
  packets                      51926  |         19036
--------------------------------------+----------------------------------------
          max               6753 p/s  |      2706 p/s
      average               4327 p/s  |      1586 p/s
          min               3188 p/s  |      912 p/s
--------------------------------------+----------------------------------------
  time                  12 seconds

[출처] Create The Flow! | ruo91 (http://www.cyworld.com/ruo91/3237998)

서버상에서 실시간으로 트래픽을 확인 하고 싶을 때 유용하게 쓸 수 있는 스크립트이다.

아래와 같이 작성하여 실행파일로 만들어서 실해하면된다.

[root@localhost taijiseo]# vi test.sh

if [ "$1" == "" ] ; then
  echo "]"사용법 : $0 장치명 [delay
  echo "예) $0 eth0 3 "
  exit 1
fi
if [ "$2" == "" ] ; then delay=3 ; else delay=$2 ; fi

echo "시간 : 수신(Kbit/Sec) / 송신(Kbit/Sec)"
while ( true ) ; do
  rx1=`grep $1 /proc/net/dev | awk '{print $1}' | sed 's/.*://'`
  tx1=`grep $1 /proc/net/dev | awk '{print $9}'`
  sleep $delay
  rx2=`grep $1 /proc/net/dev | awk '{print $1}' | sed 's/.*://'`
  tx2=`grep $1 /proc/net/dev | awk '{print $9}'`

  # 1024/8 == 128 
  rx3=$(((rx2-rx1)/128/delay))
  tx3=$(((tx2-tx1)/128/delay))

  echo "`date '+%k:%M:%S'` : $rx3 / $tx3"
done

[root@localhost taijiseo]# ./test.sh 
사용법: ./test.sh 장치명 [delay]
예)./test.sh eth0 3 
[root@localhost taijiseo]# ./test.sh eth0 1
시간: 수신(Kbit/Sec) /  송신(Kbit/Sec)

 7:31:08 : 10978 / 231
 7:31:09 : 7131 / 152
 7:31:10 : 9749 / 202
 7:31:11 : 9812 / 208
 7:31:12 : 10536 / 229

이렇게 실시간으로 트래픽 양을 확인 할 수 있다.

[출처] HostingFAQ | 아치 (http://cafe.naver.com/hostingfaq/524)

1. 모듈 적재

[root@sysdocu ~]# modprobe bonding

확인

[root@sysdocu ~]# lsmod |grep bonding

※ 커널에서 bonding 기능을 지원 해야함

2. 설정

[root@sysdocu ~]# vi /etc/sysconfig/network-scripts/ifcfg-bond0

[root@sysdocu ~]# vi /etc/sysconfig/network-scripts/ifcfg-eth0

[root@sysdocu ~]# vi /etc/sysconfig/network-scripts/ifcfg-eth1

[root@sysdocu ~]# vi /etc/sysconfig/network-scripts/ifcfg-eth2

[root@sysdocu ~]# vi /etc/sysconfig/network-scripts/ifcfg-eth3

3. 구동

[root@sysdocu ~]# /etc/init.d/network restart

확인

[root@sysdocu ~]# ifconfig

# SYN 숫자 체크후 HOST_IP 차단쉘

지금 이 쉘을 보면 웃음이 난다.

한참 SYN flooding 공격으로 고생하고 있을때 막을 수 있는 여러가지 고민을 하고 적용을 했지만

처리를 못했다. 서버는 계속 죽고 서비스는 해야겠고 일단 임시적으로 방법을 만들어 놓고 원인을 분석하고

원천적으로 막을 수 있는 방법을 생각할 수 밖에 없었다.

이 쉘을 만들 당시 공격으로 인해 스트레스도 많이 받고 힘들었지만 어느정도 이 쉘이 시간을 벌어 줬고

원인을 찾을 수 있었다.

필요에 따라 수정 해서 사용 할 수 있는 쉘이다.

#!/bin/sh 
# by ForSpeed | i@minsu.net

TODAY=$(date +%Y%m%d.%H:%M:%S) 
LOGDIR="/root/bin/syn_log" 
LIST="$LOGDIR/syn_list" 
netstat -an |grep SYN |awk '{print $5}' | awk -F : '{print $1}' | sort -n -u | grep -v 59.9.140.34 > $LOGDIR/syn_list

for i in `cat $LIST` 
do 
SYN_NUM=`netstat -an |grep SYN |grep $i|wc -l` 
if [ $SYN_NUM -gt 50 ]; then 
X=`/sbin/iptables -L -n |grep $i |awk '{print $4}' |sort -u ` 
if [ $X = $i ]; then 
echo "$i already insert iptalbes rule" 
else 
echo "$TODAY $i DROP" >> $LOGDIR/drop_list.log 
/sbin/iptables -I INPUT -s $i -j DROP 
fi 
fi 
done 

[출처] 항상 행복한 사람 | 심민수 (http://blog.minsu.net/130037696585)

고의가 아닌 클라이언트 컴퓨터의 플러그인 문제등으로 과다 패킷을 생성하여 SYN_Flooding 공격으로 오해할 경우도 있음을 참고해야 한다

#!/usr/bin/perl

$TASK = `netstat -na|grep SYN_RECV`;
$HOSTNAME = `/bin/hostname`;
$TO_MAIL = 'hkbyun@simplexi.com';
$SUBJECT = "$HOSTNAME SYN_FLOODING 공격 감지";
$MAIL_PROGRAM = "/usr/sbin/sendmail";

if ($TASK) {
$TASK_CONFIRM = `netstat -na|grep SYN_RECV|wc -l`;

if ($TASK_CONFIRM > 20) {
`/etc/rc.d/init.d/httpd stop`;
`/etc/rc.d/init.d/httpd start`;
$HTTP_DONE = "httpd was Refreshed!!n";
}

open(MAIL, "|$MAIL_PROGRAM -t");
print MAIL "To: $TO_MAIL n";
print MAIL "Subject: $SUBJECT nn";
print MAIL "$HOSTNAME Server is Attaked  by SYN_Flooding!!!n";
print MAIL "SYN_Flooding Process Number :$TASK_CONFIRM n";
print MAIL "$HTTP_DONEn";
print MAIL "$TASK n";
close(MAIL);
} 

[출처] SYN_Flooding 공격을 감지|작성자 소룡매냨

iptables 구문에

-m state --state 의 상태 추적 구문을 사용한다면,

ip_conntrack 모듈을 사용하게 되고 table에 캐쉬값에 일정시간 그 결과 저장합니다.

이를 확인해 볼 수 있는데...

[root@localhost bind-9.2.4]# grep ^tcp /proc/net/ip_conntrack | awk '{print $4}' | sort | uniq -c

    1 ESTABLISHED

    6 TIME_WAIT

watch를 이용해서 실시간 모니터링으로 사용할 수도 있습니다.

[root@localhost ~]# watch -d -n3 'grep ^tcp /proc/net/ip_conntrack | awk '"'"'{print $4}'"'"' | sort | uniq -c'

awk '"'"'{print $4}'"'"' 를 빼면, state, src ip, dst ip, sport, dport, packet, bytes 까지 확인 가능합니다.

[root@localhost ~]# watch -d -n3 'grep ^tcp /proc/net/ip_conntrack | sort | uniq -c'

 Every 3.0s: grep ^tcp /proc/net/ip_conntrack | sort | uniq -c

Mon Oct 29 05:06:25 2007

    1 tcp        6 431997 ESTABLISHED src="220.90.215.4 dst=222.122.156.22 sport=2952 dport=22 packets=4451 bytes=292473

src=222.122.156.22 dst=220.90.215.4 sp

ort=22 dport=2952 packets=4251 bytes=489998 [ASSURED] use=1

간략하게 나마 서버 모니터링이 가능하게 됩니다...

아니면 grep ^tcp /proc/net/ip_conntrack | awk '{print $4}' | sort | uniq -c 구문으로 스크립트를 작성하여,

데몬에 넣고 일정시간마다 리포트를 받게 설정하셔도 모니터링에 유용할 듯...

[출처] DNS전문가 | 오테 (http://cafe.naver.com/dnspro.cafe?iframe_url=/ArticleRead.nhn%3Farticleid=2839)

원작자는 리눅스원3기 수료생 심민수님 글이며 5기 임태곤군이 쓴글입니다. 

리눅스원 수료생들 홈페이지 http://www.lse.pe.kr 에서 퍼 온 글입니다. 
접속자 별루 없는 서버에서는 상관없지만.. 
접속자가 많은 대형서버에서 TIMEWAIT 세션이 많아지는건.. 
그만큼 서버의 리소스를 사용하는것이기땜시.. 퍼포먼스를 떨어뜨리는 결과를 초래하게 됩니다. 
구래서 TIMEWAIT값을 줄이므로써 서버의 성능을 올릴수 있는 튜닝 팁 하나 가져왔습니다. 
커널소스에서.. /usr/src/linux-2.4/include/net/tcp.h 파일을 열어보시면.. 

#define TCP_TIMEWAIT_LEN (60*HZ) 

(60*HZ) 이 부분을 (1*HZ) 이렇게 바꿔주시면.. 
세션이 금방 끊어지겠지요.

[출처] http://mediakorea.net/board3/viewbody.php?code=board3&page=4&number=132&keyfield=&key=

아래파일 수정하면 됩니다.

/usr/src/kernels/2.6.18-194.11.3.el5-i686/include/net/tcp.h

리눅스에서는 squid 라는 프로그램을 통해서 프록시 서버 구축이 가능하다.
먼저 아래의 사이트에 방문하여 squid 파일을 받는다.

squid 사이트 >> http://www.squid-cache.org/

필자가 받은 파일의 명은 squid-3.0.STABLE17.tar.gz 이다.

위 과정이 오류 없이 끝났다면 /usr/local/squid 에 설치가 된 것이다.

squid 의 설정 파일을 열어서 몇가지 설정을 확인한다.

설정 파일에서 위의 항목을 본인의 환경에 맞게 설정한다.
필자는 위 항목 이외의 항목은 기본값을 사용하였습니다.

설정 파일에서 캐시나 로그등을 기록하도록 설정된 폴더를 사용할 수 있도록 아래와 같이 입력한다.

스왑디렉토리(캐쉬용 디렉토리)를 초기화하고 데몬을 실행한다.

이제 다른 컴퓨터에서 프록시 서버를 통해서 웹에 접속해보자.

윈도우 익스플로러에서 "도구" -> "인터넷 옵션".

"연결" 탭으로 넘어가서 아래에 있는 "LAN 설정" 버튼을 누른다.

프록시 서버에서 체크박스에 체크를 하고 "고급" 버튼을 클릭한다.

붉은 박스 표시 부분에 아까 프록시 설정을 해두었던 리눅스 서버의 주소와 서비스 포트를 입력하고 "확인" 버튼을 누른다.

위의 모든 작업이 끝나면 익스플로러를 띄워 본다. 웹이 정상적으로 뜬다면 성공한 것이다.

만약 웹이 뜨지 않는다면 리눅스 서버에서 방화벽 설정이 되어 있는지 확인하고 3128번 포트를 예외로 빼준 후 다시 시도해 보자.

[출처] Development & Information Security | Huikyun (http://huikyun.tistory.com/236)

error는 잘못된 패킷의 받은 수를 표시합니다. 그 잘못된 패킷의 구체적인 
원인으로 ifconfig에서 표시해주는 것으로 overruns 과 frame이 있는데 
overrun은 FIFO가 overrun 됬기 때문에 에러가 발생했다는 것을 뜻합니다. 
dropped 는 버퍼가 꽉 찼차서 버린 패킷수를 말해줍니다. 

[출처]http://kltp.kldp.net/~eunjea/hcol-archive/2002/networking/2003-Jun/1588.html

ifconfig의 항목 설명

[출처] http://www.linux.co.kr/home/lecture/index.php?cateNo=1&secNo=27&theNo=&leccode=10878

[ 예: 192.168.0.10 만 ftp 접속 허용하기 ]

설정 전 iptables 에 21번 port 가 open 되어있으면 안됩니다.

방법 1) 명령어

# iptables -A INPUT -s 192.168.0.10 -p tcp --dport 21 -j ACCEPT

방법 2) 룰셋 수정

/etc/sysconfig/iptables

-A RH-Firewall-1-INPUT -s 192.168.0.10 -p tcp --dport 21 -j ACCEPT