مراقبة الشبكة: SNMP والسجلات والتدفقات

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1ماذا تقيس؟

لا تجمع كل شيء. ابدأ بما يجيب عن سؤال «هل الشبكة بخير؟». لكل وصلة وجهاز خمسة مؤشرات تغطي أغلب الأعطال:

2SNMP: السؤال والتنبيه

المدير يسأل كل جهاز كل دقيقة إلى خمس دقائق عن عدّادات تتزايد دائمًا، مثل عدد البايتات الداخلة. الاستخدام يُحسب من الفرق بين قراءتين: (الفرق × 8) ÷ (الثواني × السرعة). استخدم العدّادات بـ 64 بت (HC)، لأن عدّاد 32 بت على وصلة 10 Gbps يلتف إلى الصفر كل نحو 3.4 ثانية.

هكذا ترسم كل أدوات المراقبة منحنى الاستخدام. جرّب أن تغيّر السرعة إلى 100 Mbps.

speed = 1_000_000_000                       # 1 Gbps link
interval = 300                              # polled every 5 minutes
readings = [812_440_120_331, 824_470_350_995, 851_521_903_117, 885_559_100_004]   # ifHCInOctets

for before, after in zip(readings, readings[1:]):
    bits = (after - before) * 8
    print(f"{bits / interval / 1e6:7.1f} Mbps  -> {100 * bits / (interval * speed):5.1f}% used")

wrap32 = 2 ** 32 * 8 / 10e9
print(f"a 32-bit counter wraps every {wrap32:.1f} s on 10 Gbps")

3السجلات والوقت: syslog وNTP

كل جهاز يكتب أحداثه، وأنت ترسلها إلى خادم مركزي لأن الجهاز ينسى عند إعادة التشغيل. لكل رسالة مستوى من 0 إلى 7: كلما صغر الرقم زادت الخطورة. وبلا NTP تكون ساعة كل جهاز مختلفة، فلا تستطيع أن تقول ماذا حدث أولًا. اضبط كل الأجهزة على خوادم NTP نفسها، وعلى منطقة زمنية واحدة في السجلات (UTC).

الرقم بين < > يجمع الجهة والمستوى: المستوى هو باقي القسمة على 8.

import re
from collections import Counter

LEVELS = ["emerg", "alert", "crit", "err", "warning", "notice", "info", "debug"]
log = """<187>Nov  2 03:12:44 sw-acc-3 %LINK-3-UPDOWN: Interface Gi1/0/7, changed state to down
<189>Nov  2 03:12:45 sw-acc-3 %LINEPROTO-5-UPDOWN: Line protocol on Gi1/0/7, changed state to down
<187>Nov  2 03:13:02 sw-acc-3 %LINK-3-UPDOWN: Interface Gi1/0/7, changed state to up
<187>Nov  2 03:13:09 sw-acc-3 %LINK-3-UPDOWN: Interface Gi1/0/7, changed state to down
<186>Nov  2 03:15:30 rtr-edge-1 %SYS-2-MALLOCFAIL: Memory allocation failed
<190>Nov  2 03:16:00 sw-core-1 %SYS-6-LOGGINGHOST_STARTSTOP: Logging to host started"""

counts, flaps = Counter(), Counter()
for line in log.splitlines():
    pri = int(re.match(r"<(\d+)>", line).group(1))
    level = LEVELS[pri % 8]                 # priority = facility * 8 + severity
    counts[level] += 1
    port = re.search(r"Interface (\S+), changed state to down", line)
    if port:
        flaps[port.group(1)] += 1

print(dict(counts))
for port, n in flaps.items():
    if n >= 2:
        print(f"flapping port {port}: down {n} times -> check the cable")

4التدفقات والقياس المتدفق وخط الأساس

SNMP يقول لك إن الوصلة ممتلئة، لكن لا يقول من يملؤها. NetFlow/IPFIX يجيب: الموجّه يلخّص كل محادثة (المصدر والوجهة والمنفذ والبايتات) ويرسلها لمحلّل. والقياس المتدفق يدفع العدّادات كل ثانية إلى عشر ثوانٍ، فترى الانفجارات القصيرة التي يخفيها متوسط خمس دقائق. وقبل أن تضع حدود التنبيه، اجمع أسبوعين وابنِ خط أساس: ما الطبيعي يوم الأحد الساعة 9؟

النسبة 95 تتجاهل لحظة شاذة واحدة، لذلك يُفوتر بها المزوّدون ويُخطط بها للسعة.

samples = [42, 38, 51, 47, 300, 45, 49, 55, 61, 58, 44, 39, 47, 52, 60,
           57, 49, 41, 46, 53]          # Mbps, one reading every 5 minutes

ordered = sorted(samples)
p95 = ordered[int(len(ordered) * 0.95) - 1]
print("average:", sum(samples) / len(samples), "Mbps")
print("peak   :", max(samples), "Mbps")
print("95th   :", p95, "Mbps  (the short 300 Mbps burst is ignored)")

مثال محلول

المسألة: المستخدمون في الفرع يشتكون أن الإنترنت «يثقل» بين 10 و11 صباحًا. لوحة SNMP تقول متوسط استخدام الوصلة 55%. ماذا تفعل؟

الحل: متوسط خمس دقائق يخفي الانفجارات، فشغّل قياسًا متدفقًا أو اسحب كل 30 ثانية لهذه الساعة لترى القمم. ثم افتح NetFlow لنفس الوقت لترى من يستهلك: لو وجدت نسخًا احتياطيًا سحابيًا يبدأ 10:00 فانقله لليل أو حدّده بـ QoS. وافحص ifOutDiscards على منفذ الخروج: الزيادة تعني أن الطابور يمتلئ ويرمي حزمًا.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك