IKuznetsov: Новая страница: « = Мониторинг сетевых подключений ЕдиногоАгента = '''ЕдиныйАгент''' версии 1.337+ Мониторинг сетевых подключений '''ЕдиногоАгента''' собирает данные о сетевых потоках через регулярные интервалы с помощью своего сетевого модуля или '''NetTracer''' и сохраняет их. К...»

2026-09-21T13:31:36Z

Новая страница: « = Мониторинг сетевых подключений ЕдиногоАгента = '''ЕдиныйАгент''' версии 1.337+ Мониторинг сетевых подключений '''ЕдиногоАгента''' собирает данные о сетевых потоках через регулярные интервалы с помощью своего сетевого модуля или '''NetTracer''' и сохраняет их. К...»

Новая страница

= Мониторинг сетевых подключений ЕдиногоАгента =
'''ЕдиныйАгент''' версии 1.337+

Мониторинг сетевых подключений '''ЕдиногоАгента''' собирает данные о сетевых потоках через регулярные интервалы с помощью своего сетевого модуля или '''NetTracer''' и сохраняет их.

Каждый поток описывает трафик между двумя конечными точками:

* Серверная конечная точка, идентифицируемая '''IP'''-адресом и портом
* Клиентская конечная точка, идентифицируемая только '''IP'''-адресом

В отличие от сетевых метрик, которые агрегируют данные о подключениях по процессам, мониторинг сетевых подключений '''ЕдиныйАгент''' сохраняет детали отдельных подключений — включая адреса источника и назначения, порты, количество пакетов и '''RTT'''.

Собранные данные хранятся как общие события в бакете <code>default_network_flows</code>. Эти события не запускают проблемы '''ИИ''', но могут использоваться для дополнительного анализа.

== Поддерживаемые платформы ==

* '''Linux'''
* '''Windows'''
* '''AIX'''

Используемый сетевой модуль зависит от платформы: компонент, собирающий сетевые данные, поддерживает '''Linux''', '''Windows''' и '''AIX''', тогда как '''NetTracer''' работает только на '''Linux''' и оптимизирован для рабочих нагрузок контейнеров.

== Настройки ==
Чтобы настроить сбор сетевых потоков, перейдите в '''Настройки''' > '''Сбор и захват''' > '''Инфраструктура''' > '''Мониторинг сетевых подключений''' и включите '''Включить мониторинг сетевых подключений ЕдиныйАгент'''.

Параметры конфигурации включают:

=== IP-фильтр ===
'''IP'''-фильтр управляет тем, какие подключения включаются на основе удалённого '''IP'''-адреса.

* '''Все''' (по умолчанию): сообщаются все подключения.
* '''Только частный трафик''': сообщаются только подключения из частного адресного пространства ('''IPv4''': 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16; '''IPv6''': fd00::/8).
* '''Только публичный трафик''': сообщаются только подключения из глобально маршрутизируемых адресов.
* '''Пользовательское включение''': сообщаются только подключения из перечисленных адресов. Укажите адреса в нотации '''CIDR''' через запятую, например: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16.
* '''Пользовательское исключение''': сообщаются все подключения, кроме тех, что из перечисленных адресов. Укажите адреса в нотации '''CIDR''' через запятую, например: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16.

=== Сообщаемые подключения ===
Настройка '''Сообщаемые подключения''' определяет, какие подключения включаются на основе их характеристик.

* '''Все''': сообщаются все подключения.
* '''Критические подключения''' (по умолчанию): сообщаются только новые подключения с тайм-аутом сессии и существующие подключения, которые были сброшены.
* '''Пользовательские''': сообщаются только подключения, превышающие указанные пороги. Вы можете настроить пороги для переданных байтов, связности (новые сессии, сброшенные сессии, сессии с тайм-аутом), повторных передач и '''RTT'''.

Если вы не видите ожидаемых данных о сетевых потоках, убедитесь, что настройка '''Сообщаемые подключения''' включает типы подключений, которые вы хотите отслеживать.

=== Агрегация ===
За интервал агрегации несколько сессий между одними и теми же конечными точками объединяются в одну запись потока. Например, при интервале 1 минута 10 подключений от одного клиента к одному и тому же '''IP'''-адресу и порту сервера создают одну запись потока с <code>network_flow.tcp.sessions.new</code>, равным 10. Количество пакетов суммируется, а время кругового пути ('''RTT''') усредняется по интервалу.

* '''Интервал агрегации [мин.]''': как часто отправляются записи сетевых потоков. По умолчанию: 1 минута. Увеличение интервала (например, до 5 минут) уменьшает количество отправляемых записей, но также задерживает отчётность.
* '''Ограничение скорости''': максимальное количество записей потоков, отправляемых за интервал агрегации. По умолчанию: 100. Увеличение ограничения скорости на загруженных серверах улучшает видимость, но принимает больше событий.

== Запрос сетевых потоков ==
Вы можете изучать данные сетевых потоков с помощью '''DQL''' в '''Notebooks''' и '''Дашбордах'''. Все сетевые потоки, собранные '''ЕдиныйАгент''', имеют один и тот же идентификатор источника конвейера.

Следующий пример извлекает все записи сетевых потоков:<pre>
fetch events, bucket:{"default_network_flows"}
</pre>Чтобы отфильтровать по хосту, добавьте фильтр хоста:<pre>
fetch events, bucket:{"default_network_flows"}
| filter dt.smartscape.host == toSmartscapeId("<host-entity-id>")
</pre>Замените <code><host-entity-id></code> на идентификатор сущности хоста, который вы хотите проанализировать.

Следующий пример извлекает топовые хосты по общему количеству полученных пакетов:<pre>
fetch events, bucket:{"default_network_flows"}
| summarize total_packets = sum(network_flow.packets.rx), by: {dt.smartscape.host}
| sort total_packets desc
| limit 10
</pre>Чтобы ранжировать '''IP'''-адреса источников по объёму исходящего трафика:<pre>
fetch events, bucket:{"default_network_flows"}
| summarize bytes_tx = sum(network_flow.bytes.tx), by: {network_flow.source.address}
| sort bytes_tx desc
| limit 25
</pre>Чтобы выявить самые загруженные пары источник-назначение по количеству пакетов:<pre>
fetch events, bucket:{"default_network_flows"}
| summarize total_packets = sum(network_flow.packets.rx), by:{network_flow.source.address,network_flow.destination.address}
| sort total_packets desc
| limit 50
</pre>Чтобы найти потоки с наибольшим средним временем кругового пути:<pre>
fetch events, bucket:{"default_network_flows"}
| summarize avg_rtt = avg(network_flow.tcp.rtt) , by: {network_flow.source.address, network_flow.destination.address}
| filter isNotNull(avg_rtt)
| sort avg_rtt desc
| limit 50
</pre>Чтобы увидеть, какие порты назначения несут больше всего потоков:<pre>
fetch events, bucket:{"default_network_flows"}
| summarize flows = count() , by: network_flow.destination.port
| sort flows desc
| limit 20
</pre>Чтобы сузить потоки, в которых произошли тайм-ауты или сбросы сессий:<pre>
fetch events, bucket:{"default_network_flows"}
| filter network_flow.tcp.sessions.timeout > 0 or network_flow.tcp.sessions.reset > 0
</pre>Чтобы выявить подключения с наибольшим коэффициентом повторных передач:<pre>
fetch events, bucket:{"default_network_flows"}
| summarize { retrans_rx = sum(network_flow.packets.retransmitted.rx), retrans_tx = sum(network_flow.packets.retransmitted.tx),
total_rx = sum(network_flow.packets.rx), total_tx = sum(network_flow.packets.tx)},
by: {network_flow.source.address, network_flow.destination.address}
| filterOut total_rx == 0 or total_tx == 0
| fieldsAdd perc_rx = retrans_rx / total_rx, perc_tx = retrans_tx / total_tx,
perc_retrans = (retrans_rx + retrans_tx) / (total_rx + total_tx)
| sort perc_retrans desc
</pre>Чтобы ранжировать пары источник-назначение по количеству установленных новых '''TCP'''-подключений:<pre>
fetch events, bucket:{"default_network_flows"}
| summarize new_connections = sum(network_flow.tcp.sessions.new), by:{network_flow.source.address,network_flow.destination.address}
| sort new_connections desc
| limit 50
</pre>

== Поля сетевого потока ==
Поля, относящиеся к сетевым потокам.
{| class="wikitable"
!Атрибут
!Тип
!Описание
!Примеры
|-
|<code>network_flow.bytes.rx</code>
|long
|Отображаемое имя: Получено байтов. Количество байтов (октетов), полученных за данный интервал, направление: к процессу.
|
|-
|<code>network_flow.bytes.tx</code>
|long
|Отображаемое имя: Передано байтов. Количество байтов (октетов), переданных за данный интервал, направление: от процесса.
|
|-
|<code>network_flow.destination.address</code>
|ipAddress
|Отображаемое имя: Адрес назначения. '''IP'''-адрес назначения. По соглашению назначение означает '''TCP'''-сервер (принимающая сторона подключения).
|192.33.1.2; 2001:0db8:85a3:0000:0000:8a2e:0370:7334
|-
|<code>network_flow.destination.port</code>
|long
|Отображаемое имя: Порт назначения. Порт назначения потока. По соглашению порт назначения означает '''TCP'''-сервер (принимающая сторона подключения).
|22; 8080
|-
|<code>network_flow.network.transport</code>
|string
|Отображаемое имя: Протокол сетевого транспорта. Протокол.
|'''TCP'''; other; '''UDP'''
|-
|<code>network_flow.network.type</code>
|string
|Отображаемое имя: Тип сети. Версия '''IP'''-протокола.
|'''IPv4'''
|-
|<code>network_flow.packets.retransmitted.base.rx</code>
|long
|Отображаемое имя: База повторных передач пакетов (rx). Количество полученных пакетов, используемое как база для коэффициента повторных передач, направление: к процессу.
|
|-
|<code>network_flow.packets.retransmitted.base.tx</code>
|long
|Отображаемое имя: База повторных передач пакетов (tx). Количество отправленных пакетов, используемое как база для коэффициента повторных передач, направление: от процесса.
|
|-
|<code>network_flow.packets.retransmitted.rx</code>
|long
|Отображаемое имя: Повторно переданные пакеты (rx). Количество повторно переданных пакетов за данный интервал, направление: к процессу.
|
|-
|<code>network_flow.packets.retransmitted.tx</code>
|long
|Отображаемое имя: Повторно переданные пакеты (tx). Количество повторно переданных пакетов за данный интервал, направление: от процесса.
|
|-
|<code>network_flow.packets.rx</code>
|long
|Отображаемое имя: Получено пакетов. Количество пакетов, полученных за данный интервал, направление: к процессу.
|
|-
|<code>network_flow.packets.tx</code>
|long
|Отображаемое имя: Передано пакетов. Количество пакетов, переданных за данный интервал, направление: от процесса.
|
|-
|<code>network_flow.process_is_server</code>
|boolean
|Отображаемое имя: Процесс является сервером. Указывает, действует ли сущность (процесс) как сервер в сетевом потоке.
|true; false
|-
|<code>network_flow.source.address</code>
|ipAddress
|Отображаемое имя: Адрес источника. '''IP'''-адрес источника. По соглашению источник означает '''TCP'''-клиент (инициатор подключения).
|192.33.1.2; 2001:0db8:85a3:0000:0000:8a2e:0370:7334
|-
|<code>network_flow.tcp.rtt</code>
|duration
|Отображаемое имя: '''TCP''' '''RTT'''. Среднее значение '''RTT''' [мс].
|
|-
|<code>network_flow.tcp.rtt.ack</code>
|duration
|Отображаемое имя: '''TCP''' '''RTT''' ack. Среднее значение '''RTT''' ack [мс].
|
|-
|<code>network_flow.tcp.sessions.new</code>
|long
|Отображаемое имя: Новые '''TCP'''-сессии. Количество новых '''TCP'''-сессий в потоке.
|
|-
|<code>network_flow.tcp.sessions.reset</code>
|long
|Отображаемое имя: Сброшенные '''TCP'''-сессии. Количество сброшенных (отклонённых) '''TCP'''-сессий в потоке.
|
|-
|<code>network_flow.tcp.sessions.timeout</code>
|long
|Отображаемое имя: '''TCP'''-сессии с тайм-аутом. Количество '''TCP'''-сессий с тайм-аутом в потоке.
|
|}
<code>network_flow.network.type</code> имеет следующий список общеизвестных значений. Если применимо одно из них, должно использоваться соответствующее значение, в противном случае может использоваться пользовательское значение.
{| class="wikitable"
!Значение
!Описание
!Отображаемое имя
|-
|<code>IPV4</code>
|ipv4
|'''IPv4'''
|-
|<code>IPV6</code>
|ipv6
|'''IPv6'''
|}
Метрики связности (новые сессии, сброс, тайм-аут) в настоящее время сообщаются только для входящих сессий на порт сервера.

Связь между двумя процессами на одном хосте или между двумя контейнерами на одной ноде может создавать две отдельные записи.

Мониторинг сетевых подключений ЕдиногоАгента - История изменений