思科 路由 BT 下载查问

水晶蜗牛

求助啊，试验环境
思科路由，WS-C3750G-24TS
想查问是谁用bt下载呢，怎么操作啊。

不知道怎么做，做了搜寻，都是谁怎么封下载的，症结是我连阿谁ip下载的都不知道怎么查

各位大拿，帮帮我

dm511116

network monitor 软件能够看到局域网上谁在用阿谁端口和数据包。
之前有一个叫netboy的很好用。当初哪一个好用我不分明了。

倒数的时间

谢谢ls们，等会加分，我当初有wireshark，能够抓包吗
怎么做，

laponland

用netboy不必抓包。
它会给你显示一个很visual的图。下面是每个network node，而后连到哪里，甚么protocol都有。流量越大，node越大。高深莫测。

pang555

WIRESHARK就是抓包的利器呀。

把替换机上连路由器的端口镜像过去，抓20秒包，肉眼就可以看出阿谁IP的衔接数至多。封了就行。

血刃

3750G 能够用Port-Based Traffic Control 来配合使用.. 看了看manual,觉得storm-control 应该合乎要求。。 本人测试一下阿谁阀值最适合。实践上。bt一开。。 storm就来了。。 而后就能自动block端口了。。

9189188

这个好玩，看来Networking对比无意思。。。

wsy682401

感激各位的回复，先给你们加分先

gxzh

我昨天捣鼓了半天，也没有搞定。
首先思科的货色，玩不转啊，不知道怎么端口镜像 ，我只知道能够web access它，但进去当前没有看到有端口镜像的选择或者命令啊。

我的一台DC计算机（10.2.20.20）上有wireshark，而后我试图 近程抓路由的端口的包（10.2.20.1）.但一直无奈拜候。

最初我在DNS办事器上用另外一个抓包软件设置抓包，看晚上的时间，谁申请DNS至多（看图）。这类办法能够吗，查了出两台计算机申请多，第二台不是，第一台不知道怎么拜候

你们谁能先给我遍及一下，怎么样端口镜像，怎么操作啊
我先说一下咱们的网络环境，全部网络，几台办事器在10.2.20.XXX这个段上面，而后客户端在192.168.0/16 外面。大略100多台。扩散在10几个中央，用的是telstra的连入（甚么形式不知道）。反正最初都衔接到10.2.20.XXX这个段下，而后一致经过10.2.20.1进行internet拜候。
10.2.20.20/21两台机子是DC 和DNS server

[ 本帖最初由 未名湖 于 20十一-十一-十一 09:22 编纂 ]

sini

Use SPAN:

http://www.cisco.com/en/US/produ ... 86a008015c6十二.shtml

or enable netflow if your license support it.

Google Netflow

wwwuu3

lz 没做过之前?  cisco 是span.. 设置一下就行-了. 没用过web, CLI简略给你写几个, 假定你筹备monitor 1/0/1 - 23 , 24 为办事器端口.
configure terminal
no monitor session
monitor session 1 source interface giga 1/0/1 - 23
monitor session 1 destination interface giga 1/0/24

最初反省一下show monitor  or show run

而后你能够用wireshark 抓包了..  看你的ip有多个vlan. 命令外面还能够设置vlan range.  
假如client 太多，逾越switch, 就用RSPAN吧. 独一的不同就是最初目的vlan 改为remote vlan id

monitor session 1 destination remote vlan 2001 ?
monitor session 1 source remote vlan 2001
monitor session 1 destination interface gigabitethernet 1/0/24

tyc32

谢谢啊，做过就不问了，我先试一下

zz761027

为何要抓包那末繁杂啊~~弄些简略的ACL block掉BT类的流量就行-了~~
楼主就算抓到一堆包，估量剖析起来，他也够戗的~~~

黑暗天使

镜像就是把一切通过源接口的包原封不动复制一份到目的接口去。目的接口连着装wireshark的PC。配置十二楼写的很具体了。

貌似3750不反对netflow。cisco 2007年民间文档是这么说的。最新的没查到。3750G的configuration guide 里也没有。

对unicast storm-control不是很了解。一个公司假如有几十兆的internet带宽应该曾经算多了。那这个storm control threshold怎么设呢，千兆口，设低了影响内网通讯，设高了超过internet带宽对限度internet 流量来讲貌似没意义。有明确人帮助解释解释。

查BT这个活是不该该在替换机上干的。路由器上应该是能够用NBAR经过qos来限度的，起码能够match protocol bittorrent.要查的话网络办理流量剖析软件应该最佳的选择。再有不知道proxy-server上能不克不及看到。

专刊

LS 和ls的回复对我这个菜鸟来讲，都是很深奥的，我得子细钻研。谢谢先

vghao

夜游神说得很对。  其实ACL最便利了..间接block掉.   并且查bt，路由和FW更好.
unicast  storm-control 真没在cisco的装备上试过..  之前用其余的小厂家的switch做过相似的试验。。 只有bt一开。。 端口能够自动block 或者block一段时间..  觉得管制的还挺兽性的.. 同样,请网络大牛们.谁明确的给解释一下.

xiaojiu

刚看了一下，办事器上装了个这个cisco ASDM 5.2 for ASA，能用这个搞定这个任务吗，外面也有monitor 功用，我能够登录

[ 本帖最初由 未名湖 于 20十一-十一-十一 十二:44 编纂 ]

猎手

多是集体程度无限，不感觉acl可行，用甚么端标语呢？BT的端标语能够改的。并且block了，也查不到谁在用阿。

防火墙不熟，就会简略的NAT，ACL, VPN 和抓包。ASDM只是用来办理ASA的。假如是试验环境，估量防火墙任务量不大，你能够看看log，不知道看不看到BT的。

http://www.cisco.com/en/US/produ ... 86a00808c38a6.shtml

du2004

不知道lz外部网走得甚么运用。。 假如ACL关闭特别的端口.或者端口段 的确对比费事。 更何况是静态的。
然而假如企业网的运用是固定的。。  假如反其道而行之。 只凋谢特定的运用端口。起到成果是同样的。
好比telstra的备份网络.  只凋谢netbackup的通信端口.  lz能够参考相应凋谢额定80,8080 or ftp, tftp这类. 其余一概默许deny掉。。成果同样的不错。
仅供参考.   

//ASA真的是不懂. 请懂行的兄弟来解释吧.

tomas2004

看得心痒痒，搬个小板凳听课。。。

x002

http://www.cisco.com/en/US/produ ... 86a00808c38a6.shtml

forthegirl

mark, 学习

玄衣秀士

做网管抓人，这类得罪人的事少做， 倡议你发现嫌疑后，remote去看看他的机器上运转的service，再叫helpdesk去处置。

好像你ASA，switch估量cisco router都有，那就都试一试：

在防火墙上查：
有ASA之类防火墙的话，你们应该有default policy block一切in/out的数据，你可将ASDM sys log的level改为Warnings，设好buffer 5000，而后点击启动，哗啦哗啦你就看到一大丢的block了。假如你又syslog server，那样采集15秒的数据就够了，别老开着，记着恢复一下改变前的log的配置。操作，都在ASDM下的home page就够了。

假如没有block outbound的policy，那show conn，或者show xlate也应该能看出来。


在路由器上查：
开启netflow，cisco，juniper都反对的， 而后show ip cach flow， 就看到了1对N的session，应该就是阿谁了。

ACL在实际经营网络查BT不太好，除非你们实际应用的端口你都知道，而后debug ip access-list，或者给access-list加之log。
真要block，还得用NBAR，好像有时分NBAR也没用。

在替换机上查：
3750G没有netflow，只要6500或者4500+netflow card才反对。

你要真知道哪一个任务组的替换机， 其实阿谁啪啦啪啦端口拼命闪的就是，家里的普通modem也是同样

或者，clear counters ，而后马上 show interfaces | in Ether|packets， 流量在几秒内最大的，估量就是他了。

再不行就SPAN了，楼上筒子写得很分明，只是千万不要把source和destination搞反，你本人接的那台机器的端口是destination，而后接上你的有sniffer的机器，而后立马你就看到N多session，剖析一下就可以看出来。

缺陷是你无奈近程抓包，都得去现场，至多跨switch/VLAN抓包.

[ 本帖最初由 woody 于 20十一-十一-十二 10:30 编纂 ]

倒数的时间

多谢分享

llk

忘了更新了，由于事件始终没有解决
我尝试过得多ls引见的办法。
至于asa，和思科的adsm 都没有间接的查问单个ip的流量的办法，倒是有测试某个端口流量的货色，然而要知道，一个端口出来，连上switch，能够得多ip，起初没有方法，感觉要在思科上搞定很难题

因为环境是有得多个subnet组成。能够用购买一套专门的软件，但很费钱。

起初敌人引见了一个国际用的很盛行的软件，基于arp requet的，叫p2pover。能够收费装置，查问流量，很好用。
但此间也有问题，p2pover只能在一个subnet试用。所以我在几个有得多用户的subnet，分别装了这个，再其它有未几用户机的subnet，就间接近程登录，查问有无下载软件了，而后记载操作零碎上的cable数值，而后次日反省一下，通过的流量。

目前还在钻研，很好玩，很费心

kkzjzb

cisco在网管软件方面确实做的很差得多时分就算发生数据了没有很好的软件去剖析，

ISR-G2上15.0开始的反对的NBAR2能够剖析数据的class-id, application id, application categories, application attributes 应该能解决你的问题，不外像3750这样的应该还不在roadmap上。

能够看看其余vendor目前有无性价比好的解决计划

笑望书

在路由上查NAT table，哪一个内网ip映照的外网端口至多就是谁的。
之后就能在路由上专门针对这个ip抓包进行确认。
封锁的话对比难题，bt当初根本都是随机端口+加密协定，所以仍是做QoS限度流量对比管用

[ 本帖最初由 Limitless 于 20十一-十二-3 05:35 编纂 ]

cozo

楼主能够间接让管server的人在group policy 里阻止任何p2p软件的运转，这样任何pc都无奈运转bt软件

wms9999

仍是user education 对比好， 发个company policy出来， 阐明发现后回怎么处置， 大家都分明明确