Proxy (squid) + cisco (port monitoring). Можно так мониторить трафик?

Доброго дня!
На циске настроена функция SPAN (то есть port-monitoring) и трафик весь идет на линуксовый сервак (на нем стоит squid). Можно ли этот весь трафик промониторить? Если залесть в ifconfig я вижу eth0 and eth1 (прокся поэтому 2 сетевые):

все у меня с циски сваливается на eth1. Я вижу как интерфейс eth1 RX bytes пропускает много байтов через себя, т.е. данные с циски идут. а вот дальше шеф хочет чтобы этот поток данных можно было разобрать. Отсюда вопросы возникают:
1. возможно это сделать вообще?

я вот думаю, если iptables перенаправить поток на сквид. но ведь сквид работает по 80 порту, т.е. http трафик, а у меня с железа идет весь трафик, смогу ли я другой трафик через проксю проконтролировать? замечу, что мой порт в этом режиме не пингует инет, т.е. я знаю, что он работает только в режиме приема, такова его суть

2. верно, что сквид работает только с 80 портом (8080) с http-трафиком, браузера и другой трафик мимо него пройдет??

просто у меня много офисов, в одном сквид работает как чистая прокся в прозрачном режиме, об этом говорил уже в своих темах, там все анализируется по логам сквида, плюс анализатор логов, ну у меня sarg это. сейчас же я в другом офисе и мониторинг трафика хочу сделать через портмониторинг. так решило руководство, но я не знаю, эта идея вообще имеет право на жизнь? может это не алле...

3. ну и как это главное сделать. а то я пока тупо вижу что байты приходят мне на сетевуху и все. спасибо)

Теперь что я думаю, можно конечно wireshark проанализировать весь трафик, но насколько знаю, я так не узнаю, кто куда ходил в инет, и сколько трафик съели юзеры. Ведь мне на порт дохрена инфы идет и с LAN-сетки, и WAN... а конечная задача проста - чтобы я мог руководству в конце месяца сказать, куда сколько трафика ушло и дать отчет в виде 
юзер пупкин, в инете скушал 10 ГБ например.
юзер вася скушал 20 Гб например и тд.

зы. хотя я тут бы сделал обычный прокси, как в другом офисе и чтобы весь трафик можно было считать, но вот тут получается другой вариант, но может он не катит?

просмотрел tcpdump неторорых юзеров сети:

но что-то мне кажется таким образом сложно сказать кто куда ходил. ведь я вижу только обмен данным между сервером и компом юзера.

На всикдку, отдать серверу netflow и разбирать его nfsen'ом. Но, видимо, будет проблема с сопоставлением ip c юзером.

этот траффик обычно мониторится такими вещами как snort а не squid

dyasny написал:

этот траффик обычно мониторится такими вещами как snort а не squid

значит данный трафик через squid никак не промониторишь? ведь я тоже такого мнения был изначально, ведь в другом офисе через сквид мониторится все юзеры, но там нет функции SPAN (порт-мониторинг) и соответственно мониторится не сеть трафик, а только нужный мне http+https+ftp (tcp короче).

а тут думал, если фаерволом (iptables завернуть на сквид трафик приходящий на сетевуху) будут ли в логах сквида и данные по юзерам. пока делал, не видать особо чтобы логи разбухались). Я просто с портом-мониотрингом раньше не сталкивался, но хотелось бы понять, возможности в этом случае мониотринга трафика и юзеров.

зы. thanks for snort

"Macumazan⇓" написал:

На всикдку, отдать серверу netflow и разбирать его nfsen'ом. Но, видимо, будет проблема с сопоставлением ip c юзером.

то есть залить на сервер софтину netflow и nfsen и трафик разбирать парсером nfsen? или как, можно поточней? а вот сопоставление юрезов пока только вижу в дампе. возможно есть и тут решение.

"Linux777⇓" написал:

На всикдку, отдать серверу netflow и разбирать его nfsen'ом. Но, видимо, будет проблема с сопоставлением ip c юзером.

наверно я понял, это приблуда для netflow, вот скриншот http://www.softkey.ru/images/upload/1/3104a13803b66c82a558fd6ced323f0e.png
но как я понял это биллинг и она платная. или как тут говорят http://forum.ru-board.com/topic.cgi?forum=8&topic=37287 Так же есть возможность устанновить NetFlow сенсоры на Linux/Unix машину и собирать страфик с неё. но судя по этой цитате с сайта, надо иксы, а у меня нет их на сервере.

аа. netflow сенсер это и есть nfsen.

http://nfsen.sourceforge.net/

nfsen это веб интерфейс для nfdump, который и является тем, что обрабатывает трафик netflow.

"Macumazan⇓" написал:

nfsen это веб интерфейс для nfdump, который и является тем, что обрабатывает трафик netflow.

да, я уже это понял.

Macumazan⇓ пишет:
На всикдку, отдать серверу netflow и разбирать его nfsen'ом. Но, видимо, будет проблема с сопоставлением ip c юзером.

кстати, да, мысль была верной. спасибо. не знал ранее. но гугл помог понять и получить ответы! теперь стало ясно, для этой задачи надо три компонента сенсор - коллектор и анализтор.

в роли сенсора выспупает само железо, с которого идет трафик, в роли коллектора линукс машина с установленной на ней nfdump, тамже ставится nfsen (он же анализатор).

осталось это поднять, и запустить. спасибо за помощь.

"Linux777⇓" написал:

2. верно, что сквид работает только с 80 портом (8080) с http-трафиком, браузера и другой трафик мимо него пройдет??

pitables -t nat -A PREROUTING -s 192.168.1.0/24 -p tcp -m multiport --dport www,aol,xmpp-client -j REDIRECT --to-ports 3128

Глобал по 80му порту, Аська, Жабер из всей сети 192.168.1.* принудительно были завернуты на сквид.

"Linux777⇓" написал:

3. ну и как это главное сделать. а то я пока тупо вижу что байты приходят мне на сетевуху и все. спасибо)