.\" netsniff-ng - the packet sniffing beast .\" Copyright 2013 Daniel Borkmann. .\" Subject to the GPL, version 2. .TH FLOWTOP 8 "03 March 2013" "Linux" "netsniff-ng toolkit" .SH "نام (NAME)" flowtop \- ابزار پایش بلادرنگ جریان‌های شبکه و ارتباطات سوکت .PP .SH "خلاصه دستور (SYNOPSIS)" .PP \fBflowtop\fP { [\fIگزینه‌ها\fP] } .PP .SH "توضیحات (DESCRIPTION)" .PP دستور .B flowtop یک ابزار پایش و ردگیری اتصالات مشابه .B top است که می‌تواند بر روی یک میزبان نهایی یا یک مسیریاب خانگی کوچک اجرا شود. این ابزار قادر است جریان‌های TCP، UDP/UDP-lite، SCTP، DCCP و ICMP(v6) را که توسط چارچوب ردگیری اتصالات netfilter در هسته لینوکس گردآوری شده‌اند نمایش دهد؛ بنابراین نیازی به دریافت و کپچر بسته‌ها در فضای کاربری (user space) نخواهد بود. .PP ابزار .B flowtop می‌تواند نمایی سریع و کلی از اتصالات جاری بر روی سیستم محلی را به شما ارائه دهد؛ به عنوان مثال برای اهداف اشکال‌زدایی یا پاسخ به سوالاتی از قبیل: .PP .nf * اگر به وب‌سایت X دسترسی پیدا کنید، چه اتصالات دیگری در پس‌زمینه بدون اطلاع شما برقرار می‌شوند؟ * چه اتصالاتی فعال هستند که از مسیریاب عبور می‌کنند؟ * من یک فایل باینری انحصاری Y دارم، این برنامه به کجا متصل می‌شود؟ * من داده‌ها را به چه کشورهایی ارسال می‌کنم؟ * آیا اتصالات پس‌زمینه مشکوکی روی دستگاه من وجود دارد؟ * باینری Y چه تعداد اتصال فعال دارد؟ * چه مدت است که اتصالات فعال هستند؟ * با چه سرعتی در حال ارسال/دریافت داده‌ها هستم؟ .fi .PP اطلاعات زیر در خروجی .B flowtop ارائه خواهد شد: .PP .nf * نام برنامه و شناسه فرایند (PID) هنگام اجرا بر روی سیستم محلی * تفکیک معکوس سامانه نام دامنه (Reverse DNS) برای مبدا و مقصد * اطلاعات موقعیت جغرافیایی (کشور، شهر) * پروتکل‌های استفاده‌شده (IPv4، IPv6، TCP، UDP، SCTP، ICMP و...) * تشخیص تقریبی نام سرویس بر اساس درگاه جریان * اطلاعات ماشین وضعیت پروتکل انتقال * شمارنده‌های بایت/بسته (در صورت فعال بودن) * مدت‌زمان اتصال (در صورت فعال بودن برچسب زمانی یا timestamping) * نرخ ارسال/دریافت جریان (در صورت فعال بودن شمارنده‌های بایت/بسته) .fi .PP برای اینکه .B flowtop کار کند، باید netfilter بر روی دستگاه شما فعال و در حال اجرا باشد تا ردگیری اتصالات در سمت هسته فعال باشد. اگر netfilter در حال اجرا نیست، می‌توانید آن را با .BR iptables (8) فعال کنید: .sp .in +4 .nf iptables -A INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp -m state --state NEW,ESTABLISHED -j ACCEPT .fi .in -4 .sp یا با بارگذاری ماژول‌های هسته زیر: .sp .in +4 .nf modprobe nf_conntrack_ipv4 modprobe nf_conntrack_ipv6 .fi .in -4 .PP برای ثبت و نمایش شمارنده‌های بایت/بسته، .B flowtop پارامتر .BR sysctl (8) با نام \fBnet.netfilter.nf_conntrack_acct\fP را از طریق دستور زیر فعال می‌کند: .sp .in +4 .nf echo 1 > /proc/sys/net/netfilter/nf_conntrack_acct .fi .in -4 .sp و هنگام خروج، آن را به مقدار قبلی بازمی‌گرداند. این شمارنده‌ها تنها بر روی اتصالاتی فعال خواهند بود که پس از فعال‌سازی محاسبه آمار ایجاد شده‌اند. بنابراین برای اینکه این شمارنده‌ها همیشه فعال باشند، این پارامتر باید پس از بالا آمدن سیستم فعال شود. برای فعال‌سازی خودکار آن، می‌توان از .BR sysctl.conf (8) یا .BR sysctl.d (8) استفاده کرد. .PP برای محاسبه مدت‌زمان اتصال، .B flowtop پارامتر .BR sysctl (8) با نام \fBnet.netfilter.nf_conntrack_timestamp\fP را از طریق دستور زیر فعال می‌کند: .sp .in +4 .nf echo 1 > /proc/sys/net/netfilter/nf_conntrack_timestamp .fi .in -4 .sp و هنگام خروج، آن را به مقدار قبلی بازمی‌گرداند. .PP هدف .B flowtop تنها ارائه یک بررسی سریع بر روی اتصالات فعال شما است. اگر به امکانات ثبت گزارش (logging) نیاز دارید، به جای آن از ابزارهای .BR conntrack (8) مربوط به netfilter استفاده کنید. .PP .SH "گزینه‌ها (OPTIONS)" .TP .B -4, --ipv4 نمایش جریان‌های IPv4. این حالت پیش‌فرض است زمانی که flowtop بدون هیچ آرگومانی اجرا شود. .TP .B -6, --ipv6 نمایش جریان‌های IPv6. این حالت پیش‌فرض است زمانی که flowtop بدون هیچ آرگومانی اجرا شود. .TP .B -T, --tcp نمایش جریان‌های TCP. این حالت پیش‌فرض است زمانی که flowtop بدون هیچ آرگومانی اجرا شود. .TP .B -U, --udp نمایش جریان‌های UDP و UDP-lite. .TP .B -D, --dccp نمایش جریان‌های DCCP. .TP .B -I, --icmp نمایش جریان‌های ICMP نسخه ۴ و نسخه ۶. .TP .B -S, --sctp نمایش جریان‌های SCTP. .TP .B -n, --no-dns عدم انجام جستجوی نام میزبان (hostname lookup). تنها نشانی‌های عددی برای نقاط پایانی جریان نمایش داده می‌شوند. .TP .B -G, --no-geoip عدم انجام جستجوی GeoIP. هیچ اطلاعات جغرافیایی برای نقاط پایانی جریان نمایش داده نخواهد شد. .TP .B -s, --show-src علاوه بر اطلاعات مقصد، اطلاعات مبدا جریان نیز نمایش داده شود. .TP .B -b, --bits نمایش نرخ جریان بر حسب بیت در ثانیه به جای بایت در ثانیه. .TP .B -u, --update سازوکار داخلی به‌روزرسانی پایگاه داده برای دریافت آخرین پایگاه داده MaxMind فراخوانی می‌شود. برای پیکربندی مکان‌های جستجوی پایگاه داده‌ها، فایل /etc/netsniff-ng/geoip.conf شامل نشانی‌های ممکن است. بدین ترتیب برای صرفه‌جویی در پهنای باند یا ایجاد آینه از پایگاه‌های داده MaxMind (جهت دور زدن سیاست محدودیت ترافیک آن‌ها)، می‌توان میزبان‌ها یا نشانی‌های IP مختلف را در geoip.conf قرار داد که با خط جدید از یکدیگر جدا می‌شوند. .TP .B -t