MAC-VLAN の認証ログを集計する

認証ログは、syslog 転送可能

$ grep "Login succeed" ログファイル | awk '{ print $1,$2,$3,$11,$13,$4,$12 }'

形としては、

Apr 19 14:49:06 MAC=xxxx.xxxx.xxxx VLAN=xx スイッチ PORT=0/16

と出てくる。 月次統計で使えそう。 認証ログを syslog 転送するには、

# mac-authentication logging enable
# logging event-kind evn
# logging event-kind err
# logging event-kind aut

が必要となる。

2011.04.20 追記

ログイン状況は、

$ grep MAC ログファイル | grep LOGIN | awk '{ print $1,$2,$3,$4,$11,$12,$13 }'

Apr 20 08:02:36 スイッチ MAC=0014.5e64.db2c PORT=0/41 VLAN=71
Apr 20 08:05:15 スイッチ MAC=xxxx.xxxx.xxxx PORT=0/41 VLAN=xx
Apr 20 09:06:06 スイッチ MAC=xxxx.xxxx.xxxx PORT=0/41 VLAN=xx
Apr 20 09:15:12 スイッチ MAC=xxxx.xxxx.xxxx PORT=0/8 VLAN=xx
Apr 20 09:20:01 スイッチ MAC=xxxx.xxxx.xxxx PORT=0/36 VLAN=yy
Apr 20 09:21:59 スイッチ MAC=xxxx.xxxx.xxxx PORT=0/21 VLAN=yy
Apr 20 09:23:31 スイッチ MAC=xxxx.xxxx.xxxx PORT=0/8 VLAN=yy
Apr 20 09:33:59 スイッチ MAC=xxxx.xxxx.xxxx PORT=0/4 VLAN=xx
Apr 20 09:40:59 スイッチ MAC=xxxx.xxxx.xxxx PORT=0/28 VLAN=xx

の方が見やすいか。

メールサーバのトラフィック調査

netstat

$ sudo netstat -ant | grep -v "tcp     0     0"

で出てきた xxx.xxx.xxx.xxx 宛の通信を中心に検証。

imap pop 転送量調査

$ grep "Apr 14 01" /var/log/mail.log.1 | grep "imap|pop" | grep "sent=" |\
awk -F"sent=" '{ split($1,a," "); split($2,b,","); print a[3] "," b[1] }' \
> /tmp/mail_0100.csv

これを、02時 ～ 08時台についても行う。尚、ログは、01 ～ 05 は、mail.log.1 06 は、mail.log mail.log.1、07 ～ 08 は、mail.log を参照する。

netstat 追調査

$ sudo netstat -ant | grep xxx.xxx.xxx.xxx

こんな感じ