ntop 實戰：Linux 網路流量可視化分析與故障快速定位

隨著 Linux 佔據網路伺服器主流，精準測量流量、協議分佈、主機行為成為運維剛需。ntop 是功能完備的 GUI 網路檢測神器：基於 Web 介面呈現即時/歷史流量、協議分析、主機通訊矩陣、安全事件，支援互動式鑽取。本文從安裝部署到實戰案例，示範如何用 ntop 幾分鐘鎖定廣播風暴源頭。

一、部署前置依賴

ntop 依賴：zlib（圖表壓縮）、gd（圖表繪製）、libpcap（封包捕獲）、libpng。驗證：

rpm -qa | grep -E 'libpcap|zlib|gd|libpng'

⚠️ 系統自帶 ntop 多有安全漏洞（如任意檔案讀取），務必從官網下載最新原始碼編譯：
https://www.ntop.org/ntop.html → ntop-02-07-10.tar.gz

二、編譯安裝流程（以紅旗 Linux 3.0 / Kernel 2.4.7 為例）

gunzip ntop-02-07-10.tar.gz
tar zxvf ntop-02-07-10.tar
mv ntop-02-07-10 ntop
cd ntop/gdchart0.94c
./configure
cd gd-1.8.3/libpng-1.2.4
make
cd ../../zlib-1.1.4
./configure && make
cd .. && make
cd ../ntop
./configure && make && make install

三、初始化與啟動

mkdir -p /home/ntop_dbase
chown 99:99 /home/ntop_dbase
/usr/local/bin/ntop -u nobody -P /home/ntop_dbase &

• 首次啟動需設定管理員密碼
• 瀏覽器訪問 https://:3000/ 進入儀表板
• 命令列模式：ntop -i eth0 直接監聽指定介面

四、實戰案例：午後網路性能驟降，ntop 三分鐘鎖定元兇

環境：中小型局域網，紅旗 Linux 3.0 伺服器，Windows 9x/2000 客戶端

步驟 1：確認網路負載異常

點擊 IP Protos → 發現網路整體負載 98%，近乎飽和。

步驟 2：定位高流量主機

點擊 IP Traffic → 發現主機 cao1 流量佔比近 99%。

步驟 3：鑽取主機詳情

點擊 cao1 → Host 頁面：
IP: 192.168.0.1 | MAC: 00:50:BA:F0:AB:AC | OS: Windows

步驟 4：分析流量型態

雙擊 cao1 → 傳輸資料類型：100% UDP 封包。

步驟 5：業務場景驗證與處置

• UDP 洪流 + Windows 主機 → 高度懷疑 廣播風暴
• 現場核查：cao1 正使用「超級解霸 2000」進行 DVB 音視頻局域網廣播，操作失誤開啟全網廣播
• 關閉該軟體廣播選項 → 網路瞬時恢復正常

五、總結與安全警示

• ✅ ntop 讓流量、主機、協議、安全狀態「無所遁形」，無論監測還是日誌審計皆為利器
• ⚠️ ntop 本質是網路嗅探器，屬雙面刃。嚴禁非網管人員（含高管）在網路使用任何嗅探工具，納入資安制度強制執行

掌握 ntop，賦予網路「可視化 X 光眼」，從盲目排查轉為精準打擊。