Ntop监控 – 主机可见，没有SPAN /镜像
我正在尝试使用ntop监视Cisco Catalyst交换机上的stream量。 我假设，为了看到任何stream量，我不得不使用显示器，如下所述： http : //www.cisco.com/en/US/products/hw/switches/ps708/products_tech_note09186a008015c612.shtml 。
不pipe怎样，在我做任何事情之前，我只是插入我的ntop服务器，并启动ntop。 令我惊奇的是，我立即看到3页以上的主机和数以千计的数据包。 ntop怎么看这个？
我已经validation交换机上没有监视（以en身份运行）：
cs1.pvdc#show monitor No SPAN configuration is present in the system. 我的ntop服务器是Ubuntu 8.04，我没有做任何configuration，我只是安装了ntop包。 这也是一个新鲜的Ubuntu安装。
除了“monitor”，我的交换机还有其他什么东西可能会导致我的交换机像这样镜像所有的stream量？ 我试过把ntop插入不同的端口，结果相同。
更新：它似乎不仅仅是广播stream量显示在ntop，例如，我可以看到我的IP已经谈到了DNS服务器或生成的HTTPstream量。 如果我的交换机configuration不正确，谁能指出我正确的方向来纠正这一点？ 不是思科专家。
你看到什么样的数据包？ 一般来说，我发现一个好的规模的networking将不可避免地会有很多广播喋喋不休。 像NetBios公告和ARP请求。 你不应该看到任何点到点的stream量。 查看源和目标IP / MAC地址。 如果您看到特定的点对点stream量，那么您的交换机可能存在configuration问题。
另外，最好在交换机的每个接入端口上spanning-tree port-fast转换spanning-tree port-fast ，因为这将防止在端口上/下端口时刷新mac-address表。 这通常是交换机泛洪分组的原因。
编辑：
您可以尝试更改MAC地址表老化时间：
http://www.cisco.com/en/US/docs/ios/12_3/switch/command/reference/swi_m1.html#wp1085773
该命令将是：
mac-address-table aging-time seconds
这将改变一个条目停留在切换表中的时间，从而允许它记住更长的地址并限制单播洪泛。
另一个命令是我上面提到的spanning-tree port-fast 。 您应该在不连接到其他交换机的每个接口上启用此function。 这将有两个好处：首先，它会加快插入新计算机的时间;其次，当它认为存在拓扑变化（生成树的特征）时，它也将保持交换机不刷新MAC表）。
我也使用NTOP，这就是你的情况。
注意：SPAN将在一个端口上监视A到B和B到A的stream量。 如果您拥有全双工2x 100 Mbit，则A和B之间的总stream量不能超过networking速度，在丢包发生之前达到100 Mbit。 这不应该是一个千兆交换机的问题。
在这个configuration中，嗅探器只捕获被淹没到所有端口的stream量，例如：
广播stream量
禁用CGMP或Internet组pipe理协议（IGMP）监听的组播stream量
未知的单播stream量
当交换机在其内容可寻址存储器（CAM）表中没有目的地MAC时，发生单播洪泛。 交换机不知道在哪里发送stream量。 交换机将数据包泛洪到目标VLAN中的所有端口。
如果你有一个非常大的局域网，然后检查你的大小mac桌子存储。 如果你溢出很多，那么你开关将开始洪水。
我已经看到这个问题，networking中有一个核心交换机被configuration为过滤二层组播数据包，导致许多接入交换机上的不完整的mac表。
如果您有物理访问交换机的权限，请将交换机的诊断切换到交通模式，您应该在每个端口上看到均匀的活动分配（显示的均匀stream量分配）。 如果有很多的同步，那么就会有很多洪水正在进行。 如果所有的开关都一样，那么你的mac表学习问题。