밥한끼In 부분에 이렇게 트래픽이 들쑥날쑥한데 어떤 의미죠?
Out은 서버에서 나가는 트래픽이고 In 부분은 서버로 요청이 들어오는 트래픽을 뜻하는가요?
아파치 BrowserMatch 설정으로 대부분의 봇들은 차단시켜 놓은 상태인데 트래픽이 꾸준히 증가하고 있는 상태입니다. ㅡㅡ;
피크가 크게 치솟아 오를 때 아파치 로그를 보면 그닥 높아질 이유가 안될 듯 한데...
rsync로 cron 백업해 놓은 설정도 크게 치솟을 시간때에는 가져가질 않거든요.
"Out은 서버에서 나가는 트래픽이고 In 부분은 서버로 요청이 들어오는 트래픽" 입니다.
서버가 뭘 하는지 모르겠지만, 통상적인 운용과는 완전히 반대군요. 보통은 아웃바운드 트래픽이 많은데..
무슨 서비스를 하는지 대충이라도 알아야 조언을 드릴 수 있고, WEB서버 "만" 돌리신다면 일반적인 케이스에서는 비정상인 것으로 판단합니다.
윗분말씀대로 트래픽 패턴이 일반적인 웹서버의 반대입니다.
MRTG를 어떻게 세팅하셨는지 모르겠지만 IN/OUT이 반대로 된 모습이기도 합니다.
트래픽의 정체를 파악하기위해서 아파치로그를 뒤져보셔도 되고 여의치않을경우 tcpdump로 패킷을 잡아서 확인해보는 방법도 있습니다.
아파치로그에 보시면 전송한 데이터크기가 나옵니다.
로그 몇십분정도어치 덜어내서 cut 등으로 잘라서 다 합한 후, 평균값을 MRTG의 값과 비교하여 많이 다르면 웹트래픽이 아닐수도 있으니 그때 패킷분석을하시는것이 무난합니다.
혹시 tcpdump 패킷 분석 노하우가 있을까요?
일단 문제를 정의하자면 트래픽을 유발하는 IP와 포트를 찾자는겁니다.
L2는 의미없으니 L3/L4부터 봅니다. 쓸만한 도구로는 IDS/IPS, netstat, ntop, tcpdump, IPTraf, Iftop, vnstat, bwm-ng 상단의 방화벽, 라우터, netflow 등이 있습니다.
의미있는 결과를 얻지못하면 L5/6/7로 올라가는거죠. 가지고계신 장비와 프로그램, 웹로그등으로 확인해봅니다.
그 결과 어떤 IP에서 어떤 포트로 어떤 트래픽이 업로드되는지 알 수 있게됩니다.
그러고보니 리눅스에는 iptraf라는 멋진도구가 있었네요.
iptraf 켜고 10~20분 냅둬보세요. 트래픽 많이 일으키는 ip와 포트 확인 후 웹이라면 로그에서 IP로 확인해보면 어떤놈인지 알수 있겠네요.
tcpdump는 말그대로 최후의 수단입니다.
tcpdump 편하게 쓰시려면 패킷캡쳐해서 파일로 떨군후 PC(윈도우)에 와이어샥설치해서 불러오면 보기 좋습니다.
참고로 와이어샥에서는 L2~L7까지, 웹패킷의경우 URL은 물론, 컨텐츠와 헤더까지 다 보입니다.
예) tcpdump -i eth0 port 80 -w eth0_20151124_01.dmp
웹서버 로그 분석해주는 걸 설치 해서 확인해보시는건 어떨까요.?
웹질라 인가 그런 프록램이요 ^^
메니지드 스위치 라면 스위치 단에서 모니터를 해보세요.
아니면 고용량 파일을 업로드 해서 같은 시간대에 mrtg가 어떻게 변하는지 확인해봐도 될것 같아요.
Ray 님 말씀대로... 저게 네트웍장비에서 GET한 값이라면 지극히 정상이고, 서버에서 GET한 값이라면 비정상이죠.
IPTraf로 그렇게 오래 걸어놓으실 필요 없이 저녁때 10분만 봐도 답이 바로 나오겠는데요?
그리고.. 그래프 들쭉날쭉한 거야, 웹서버 로그 분석해서 전송한 트래픽만 대충 봐도 나올껍니다.
제가 보기에는 "서버입장에서" 그래프가 뒤바뀐거 외에는 정상이거든요..