Jak pomocí ntopng bez využití nProbe monitorovat domácí síť s routerem MikroTik s běžícím RouterOS.

Tento článek kombinuje znalosti z předchozích dvou článků:

• Monitorování síťové komunikace s ntopng ve Fedoře 31
• Packet capture from MikroTik to Wireshark

Princip je velmi jednoduchý:

1. Na routeru nastavíme packet sniffer, který bude přeposílat síťový provoz na náš počítač.
2. Na našem počítači spustíme ntopng.

1) Spuštění packet snifferu na MikroTiku

Pomocí SSH nebo Telnetu:

/tool sniffer set streaming-enabled=yes streaming-server=192.168.1.100
/tool sniffer set filter-interface wlan1,wlan2
/tool sniffer set filter-ip-address 192.168.1.150/32
/tool sniffer start

• 192.168.1.100 je IP adresa hosta na kterém poběží ntopng
• wlan1,wlan2 jsou rozhraní na MikroTiku, na kterých chci pakety zachytávat
• 192.168.1.150/32 je konkrétní adresa zařízení, jehož provoz chci zachytávat. Zde je možné použít i rozsah IP adres, případně “0.0.0.0/0”, pokud chcete zachytávat provoz všech zařízení.

2) Spuštění ntopng

Aby jsme nemuseli řešit balíčky nebo kompilaci, použijeme kontejnery a docker-compose.

Vytvořte soubor “docker-compose.yml” s tímto obsahem:

version: '3'

services:

  ntopng:
    image: vimagick/ntopng
    command: --community -d /var/lib/ntopng -i wlp3s0 -r 127.0.0.1:6379@0 -w 0.0.0.0:3000
    volumes:
      - ./data/ntopng:/var/lib/ntopng:z
    network_mode: host
    restart: unless-stopped

  redis:
    image: redis:alpine
    command: --save 900 1
    ports:
      - "6379:6379"
    volumes:
      - ./data/redis:/data:z
    restart: unless-stopped

Pozor: Nezapomeňte změnit “wlp3s0” na název vašeho rozhraní, které je připojené do sítě s MikroTikem a na které budou posílány zachycené pakety!

Vytvořte adresáře, které připojíte do vytvořených kontejnerů kvůli perzistentnímu uložení dat mezi spuštěními:

$ mkdir -m 777 -p data/{ntopng,redis}

Spuštění ntopng:

$ sudo docker-compose up -d

Webové rozhraní ntopng bude dostupné na: http://127.0.0.1:3000

Při prvním přihlášení budete muset použít výchozí uživatelské jméno a heslo (bude uvedeno přímo na přihlašovací stránce) a následně budete vyzvání ke změně hesla. Ve webovém rozhraní pak můžete sledovat aktivní toky všech hostů, jejichž pakety na MikroTiku zachytáváte.

Závěr

Pro zastavení zachytávání paketů snifferem na MikroTiku použijte:

/tool sniffer stop

Pro zastavení kontejnerů ntopng a redisu na vašem systému použíjte:

$ sudo docker-compose stop

Pro více informací mrkněte na mé dva přechozí články zmíněné v úvodu!