TrafStat

Необходимо проработать вопрос о добавлении поддержки фиксирования информации о трафике отличном от TCP и UDP.

В этом вопросе есть свои подводные камни. Например, если кто то создал ICMP-тунель и начал прокидывать по нему трафик, как узнать кто является клиентской а кто серверной стороной в этом соединении обмена трафиком.

Хотя можно хранить две соответствующие записи которые будут описывать данное соединение. Т.е. что то подобное:

+---------------------+------------+------------+---------+-----+---------+----------+
| date                | srcIp      | dstIp      | dstPort | pId | inBytes | outBytes |
+---------------------+------------+------------+---------+-----+---------+----------+
| 2007-02-01 01:30:00 | 3232269176 | 3232269325 |      -1 |   3 |       0 | 19222333 |
| 2007-02-01 01:30:00 | 3232269325 | 3232269176 |      -1 |   3 |       0 |  9651096 |
+---------------------+------------+------------+---------+-----+---------+----------+

То есть: 192.168.131.120 передал 192.168.132.13 19222333 байта, а 192.168.132.13 передал 192.168.131.120 9651096 байта используя протокол ICMP. А в дальнейшем имея какую то дополнительную информацию можно сделать вывод, кто находится во внутренней сети (контролируемый клиент) а кто находится во внешнем мире.

Суть в том, что данный вопрос требует дополнительной проработки.