监控网络使用情况（不包括本地流量）

Question

我正在开发一个监控网络使用情况的应用程序。然而，我注意到许多方法都不允许排除本地流量（例如，时间机器）。

我正在寻找一种排除本地流量的方法，并且仅监视直接进出互联网的使用情况。

更新：谢谢您的回复，现在我知道如何查找流量是否是本地的，但我仍然不知道如何计算总输入/输出字节（抱歉，如果我没有之前详细阐述过）。我无法知道在特定时间段内或自操作系统启动以来本地（或互联网）发送/接收了多少字节。由于操作系统运行时进程会启动或终止，这个问题变得更加复杂。

问题的答案 如何获取网络适配器统计信息linux/Mac OSX? 提供了一种有趣的方式来总结总使用情况，但它没有帮助，因为它总结的使用情况是接口统计信息。

更新 2：我已经发布了我的最终解决方案。请向下滚动一点查看。

Answer 1

您需要阅读 ifconfig(8) 的源代码，它描述了如何获取每个连接的网络接口的状态。

特别注意 in_status()，它获取接口的 inet 地址和网络掩码。

当流量中的源地址或目标地址与本地接口具有相同的主机时

int is_local =
(src && 网络掩码) == (ifaddr && 网络掩码)
<代码>|| (dst && netmask) == (ifaddr && netmask)

那么你可以确定它是本地的

http://www.opensource.apple.com/source/network_cmds/network_cmds-307/ifconfig.tproj/ifconfig.c

Answer 2

回答您有关哪些接口承载本地流量的评论实际上很复杂，因为这取决于您所说的本地流量的含义。

“本地”的含义

“本地流量”最简单的含义是不离开其生成的计算机的流量（例如，同一台计算机上的两个程序相互通信）。这些流量都过去了 lo。这是人们说本地时所指的一件事（也是我回答时所想到的）。

下一个最简单的含义是“发往同一子网上的计算机的 IP 流量”。那将是具有本地子网内的目标地址的流量。最简单的统计方法是使用路由表（如果 Mac OS X 计算每个路由的流量统计数据，则各个网关上的路由将为您提供非本地流量）或使用防火墙规则。 这可能不是任何人所说的“本地流量”时的意思。

另一个含义是“发往此（物理）位置的计算机的 IP 流量”。例如，在我的办公室，我们有几个正在使用的子网，它们之间有路由器，但从一个子网到另一个子网的流量显然仍然是本地的。您需要网络知识来根据此定义区分本地流量和非本地流量。

另一个含义是“发往我组织中的计算机的 IP 流量”。这是一个合理的含义，具体取决于您的网络设置方式（例如，您的位置之间可能有快速光纤，但您的互联网连接速度要慢得多，或者按 GB 收费）。需要对网络有深入的了解才能确定目的地是否是本地的，并且对于 VPN 之类的东西，可能会随着时间的推移而变化。

最后，“互联网流量”不是与其中任何一个相反。例如，有时，以太网段上看似本地的计算机实际上是通过 VPN、通过 Internet 进行的（这并不疯狂，当远程用户需要使用各种 Windows 服务时，它非常有用）。您组织内部的流量可以轻松地通过 Internet VPN 传输。

简单网络中的作弊

如果网络非常简单，只有一个内部子网，只有一台路由器，并且所有未到达该内部子网的流量都是 Internet 流量，则可以作弊并解决此问题。这可能适用于绝大多数家庭网络，以及许多小型企业网络。

使用防火墙规则

在简单的网络设置中，您可能可以做出一些假设，并通过将流量计数为非本地来获得足够接近的答案，如果：

• 目标 MAC 地址是默认网关的 MAC 地址；并且
• 目标 IP 地址不是默认网关的 IP 地址

或者：

• 目标 IP 地址不在网络接口的子网内 默认路由出去

您可以创建一条防火墙规则来计算以下任一情况那些。至少使用 Linux iptables 可以，而且我很确定 BSD pf，可能还有 Mac OS X。

替代方法：SNMP

最后，如果您不能使用防火墙规则（因为这需要 root），您可以希望默认网关响应 SNMP 社区公共，探索其所有接口，找到具有子网外 IP 地址的接口，然后假设该接口是 Internet 链路。然后您可以向路由器询问该接口上的流量计数。

当然，您会发现许多 SOHO 路由器不支持 SNMP，而支持 SNMP 的路由器可能也没有打开它。

Answer 3

最好的方法是通过 eth0、eth1 或任何具有 ifconfig 系统调用的适配器来查找“外部”IP 地址。然后提取任何系统的日志（消息、系统日志等）并为该外部 IP 地址编写过滤器。为了使其更好、更便携，请编写一个正则表达式，仅过滤可公开路由的 IP，并仅过滤该“外部”IP 地址的消息日志。

Answer 4

我认为，一个近似的解决方案： getifaddrs 可用于获取网络使用情况的统计信息。

它可以获取 Wi-Fi 和 WWAN 接口的单独统计信息。

您可以从以下位置找到更多信息：

http://www. gsp.com/cgi-bin/man.cgi?section=3&topic=getifaddrs

Answer 5

这取决于您如何定义“本地”，但常见的定义是查看网络掩码。

例如，如果您的IP（即您监控的接口的IP）

10.33.52.123
netmask 255.255.255.0

意味着每个源IP和目标IP都是10.33.52.xx的IP数据包都是本地的。

我不知道cocoa或objective-c ，但您可能可以使用其中一些函数来帮助您从 IP 地址中提取网络： http://developer.apple.com/library/mac/#documentation/Darwin/Reference/ManPages/man3/inet_network.3.html

Answer 6

不知道如何在 Objective-C 中实现它，但想法是你得到你所在网络的地址（你可以从基于你本地 ip 的网络类（A，B，C）中找出这个地址或从网络掩码中的位（如果不是标准的），然后只需检查传出连接的地址。如果目的地不在您的本地网络中，则计算流量；如果它在，则什么都不做。

Answer 7

不可路由的 IP 地址分为三个范围，通常用作 NAT 服务的地址范围。任何不在不可路由地址范围之一内的地址都是外部地址。

当然，如果您不在 NAT 路由器后面，则任务会更困难（从技术上讲，此时所有小于 127.0.0.1 的地址都是外部地址）。

不可路由的 IP 范围为：

10.0.0.0 - 10.255.255.255

172.16.0.0 - 172.31.255.255

192.168.0.0 - 192.168.255.255

Answer 8

我最终的工作解决方案是使用 libpcap 来实现这一点。当然，它也有一些缺点，包括它需要提升权限，并且必须捕获所有过滤的数据包来计算统计数据，但至少它工作得很好。

关于 libpcap 的许多文档和教程都相当全面和清晰，我建议每个对此解决方案感兴趣的人都可以看看那些相对较少的 google-fu 工作。

另外，一些人可能会感兴趣，我的互联网流量过滤器如下 -

- (NSString *)_internetFilterStringForInterface:(AKNetworkInterface *)interface
    inOrOut:(BOOL)inYesOutNo
{
    if (![interface net] || ![interface mask] || IsEmpty([interface addresses]))
    {
        return nil;
    }

    NSString *hostType = inYesOutNo ? @"dst" : @"src";
    NSString *host = nil;
    for (NSString *hostComponent in [interface addresses])
    {
        if (IsEmpty(hostComponent)) continue;
        if (!host)
            host = [NSString stringWithFormat:@"(%@ host %@", hostType, hostComponent];
        else
            host = [host stringByAppendingFormat:@" or %@ host %@", hostType, hostComponent];
    }
    host = [host stringByAppendingString:@")"];

    NSString *net = [interface netString];
    net = [net stringByReplacingOccurrencesOfString:@".0" withString:@""];

    NSString *filter = [NSString stringWithFormat:
                        @"ip and (not %@ net %@) and %@",
                        inYesOutNo ? @"src" : @"dst",
                        net, host];
    return filter;
}

该过滤器是根据一些关于什么算作“本地流量”的答案设计的，我知道它不包含一些边缘情况，例如双 NAT 配置，等等，但我想看到有关此的建议。

我知道 net = [net stringByReplacingOccurrencesOfString:@".0" withString:@""]; 只是一种快速破解，在某些特殊情况下很容易失败，但是嘿没有人抱怨，至少没有人抱怨然而。