NTOP

Gerade beim Einsatz von Outlook über WAN-Verbindungen kann eine nicht ausreichende Bandbreite für viel Verdruss und Ärger sorgen. Bis Outlook 2002 wurde dazu immer RPC genutzt und selbst mit einer Offline Datei wurden lokale Inhalte nicht als Cache genutzt. Erst Outlook 2003 entschärft die Situation, indem im so genannten Cached-Mode zwar weiterhin "online" gearbeitet wird, aber trotzdem die lokale OST-Datei als Cache dient und damit die zu übertragende Datenmenge reduziert und den Exchange Server entlastet.

Die Problemstellung

Aber selbst dann wird immer wieder die Frage aufgeworfen, warum das WAN so langsam ist. Die gleiche Situation lässt sich mit den Fragen "Warum ist das Internet heute so langsam" oder "Wieso braucht es so lange, bis meine Mails auf den anderen Exchange Server übertragen wurden".

Es muss was her, um die Auslastung der WAN-Leitungen zu messen und zu bewerten. Dazu gibt es jede Menge meist kostenpflichtige Programme seitens der Hersteller selbst und auch mit QoS und anderen Wegen wird gerne versucht, bestimmte Protokolle zu priorisieren und damit ein Management zu betreiben. Aber der Anfang eines jeden Managements ist erst mal zu ermitteln, was auf den Leitungen los ist. Und dazu gibt es mehrere Ansätze, z.B.:

Genau genommen ist eine Verkehrsflussanalyse das gewünschte Ergebnis. Ein Programm welches alle Pakete mitschneidet aber gleich quantitativ auswertet und einen Bericht aufbereitet. Die eigentlichen Nutzdaten interessieren nur noch im Hinblick auf die Paketgröße bzw. Menge.

Was macht NTOP ?

Genau das macht eigentlich NTOP. NTOP läuft auf einem Windows oder Linux System und liest alle Pakete mit, die es über seine Netzwerkschnittstelle erhält. Dazu nutzt NTOP unter Windows den Packet Treiber WINPCAP. Die Pakete werden bezüglich der Absender, Empfänger, TCPIP-Ports, Protokolle und Datenmenge analysiert und in eine Datenbank abgelegt. Der Zugriff auf die Informationen erfolgt einfach über einen Browser auf den integrierten Webserver, der auf Port 3000 (default) auf Verbindungen wartet.

Preise und Lizenz

NTOP ist "Open Source", d.h. sowohl das Programm selbst als auch der Quelltext sind offen und so kann jeder das Programm selbst kompilieren. Für diverse UNIX-Derivate stehen schon entsprechende Installationspakete (RPM) zur Verfügung. Für Windows stellt der Autor selbst eine Testversion bereit, die nur 1000 Pakete mitschneidet und erwartet, dass Windows Administratoren eine Vollversion bei ihm kaufen. Das reicht natürlich für den produktiven Betrieb nicht aus. Er begründet dies damit, dass er auch für die Microsoft Werkzeuge (C-Kompiler etc.) bezahlen müsste und ansonsten ja jeder den Quellcode einfach selbst übersetzen könnte. Da der Quellcode aber "offen" ist, haben mittlerweile andere Personen die Software für Windows übersetzt und bieten diese kostenfrei zum Download an. Suchen Sie einfach etwas im Internet.

Installation und Anschluss

Ich beschreib hier die Anleitung für Windows, da die meisten Administratoren dieser Webseite dieses Betriebssystem vorziehen:

Zuerst müssen Sie sich NTOP als auch den Pakettreiber WINPCAP besorgen und installieren.

1,3 MB
ntopwin32.zip		 NTop 3.1 für Windows.

Bitte prüfen Sie auf www.ntop.org , ob es mittlerweile eine aktuellere Version gibt. Diese ZIP-File müssen Sie einfach nur z.B.: nach C:\Programme\NTop32 auspacken.
WinPCAP
http://winpcap.polito.it/
install/default.htm		 Der notwendige Packettreiber für Windows muss ebenfalls installiert werden. Aktuelle Version unter http://winpcap.polito.it/

Nach dem Auspacken muss NTOP nur noch gestartet werden. Dies kann interaktiv erfolgen (NTOP /C) oder Sie installieren NTOP mit der Option "/I" als Service. NTOP versucht beim Start eine Verbindung "nach Hause" aufzubauen, um auf eine neue Version zu prüfen. Dies können Sie über die Konfiguration deaktivieren. Sie sollten auch überlegen, ob Sie in der Konfiguration ein Kennwort für den Administrator festlegen. Wenn Sie NTOP interaktiv mit "/C" starten, dann sollten Sie nach kurzer Zeit folgendes Bild sehen:

Kontrollieren Sie, dass NTOP die "richtige" Netzwerkkarte zum mitschneiden nutzt. NTOP beenden können Sie wieder ganz einfach mit "CTRL-C". Nun ist es an der Zeit einfach einen Browser zu starten auf die Adresse http://localhost:3000. Das Startbild sieht dann in etwa so aus:

Am oberen Rand sehen Sie seit Version 3.1 ein dynamisches Menü. Seit Version 3.1 ist es also erforderlich, dass JavaScript aktiv ist.

Übersicht über die Menüstruktur

Das eue Menü ist vergleichbar zur Version  3.0 aufgebaut und mag erst etwas verwirrend wirken aber Sie finden Sie sehr schnell zurecht.

 

Interessant sind z.B.: folgende Auswertungen:

Bei den meisten Berichten gibt es weitere Hyperlinks zu anderen Berichten. Das geht so weit, dass z.B.: ein einzelner Host analysiert werden kann, wie oft er keine Verbindungen erhält etc. Das Ganze funktioniert natürlich nur so gut, wie Sie das NTOP-System auch sinnvoll ihn ihre Netzwerk einbinden. Beim Einsatz an einem Switch werden sie bis auf ihre eigenen Daten und Broadcasts/Multicasts natürlich recht wenig sehen. Die protokollierende Netzwerkkarte muss natürlich schon geeignet angeschlossen werden. Bislang konnte ich aber die Menüs zu SCSI und FC (Fiber Channel) noch nicht ausprobieren.

Einbindung von NTOP ins Netzwerk

Über die Einbindung von Systemen zur Überwachung in ein Netzwerk gibt es schon viele Unterlagen. Sie müssen zwei Dinge verstehen:

Solche Schnüffelsysteme können Prinzip bedingt an drei Stellen aktiv sein:

NTOP im WAN ?

Die Einführung dieser Seite beschreibt, dass NTOP genutzt werden kann, um bessere Aussagen über WAN-Verbindungen machen zu können. Nur wie muss NTOP hierzu eingesetzt werden ?

Für NTOP gibt es zwei Szenarien, um Daten über den Verkehr von WAN-Verbindungen zu erhalten.

Wenn Sie aber wirklich nur "Exchange" betrachten wollen, dann können Sie NTOP einfach vor oder auf dem Exchange Server installieren und so das Nutzungsverhalten ihrer Anwender auswerten.

Weitere Links

Keywords:NTOP Analyse Ethernet WinPCap Wireshark Sniffer NetMon