مقدمه

در شبکه‌های کامپیوتری همیشه این سؤال وجود دارد که «الان چه چیزی باعث مصرف پهنای باند شده است؟». ممکن است یک سرور در حال دانلود فایل باشد، یک کاربر حجم زیادی از اطلاعات را ارسال کند یا یک سرویس خاص باعث افزایش ناگهانی ترافیک شبکه شود.

در روترهای MikroTik ابزاری به نام Torch وجود دارد که برای بررسی ترافیک شبکه به‌صورت لحظه‌ای استفاده می‌شود. با کمک Torch می‌توان دید چه آدرس IPای در حال ارسال یا دریافت اطلاعات است، ارتباط از چه پورتی استفاده می‌کند، پروتکل مورد استفاده چیست و چه مقدار ترافیک از یک Interface عبور می‌کند. MikroTik نیز Torch را به‌عنوان ابزار مانیتورینگ لحظه‌ای جریان ترافیک معرفی کرده است.

برای مثال، فرض کنید پهنای باند یک سرور هاستینگ ناگهان از 100 مگابیت بر ثانیه به 1 گیگابیت بر ثانیه رسیده است. به‌جای اینکه حدس بزنیم مشکل از کدام سرور یا سرویس است، می‌توانیم با Torch ترافیک را بررسی کنیم و ببینیم دقیقاً چه ارتباط‌هایی در حال مصرف پهنای باند هستند.

در این آموزش، نحوه استفاده از Torch در MikroTik را از ابتدا تا بررسی حرفه‌ای ترافیک یاد می‌گیریم.

Torch در MikroTik چیست؟

Torch یک ابزار داخلی در RouterOS است که برای مشاهده و تحلیل ترافیک عبوری از یک Interface استفاده می‌شود.

به زبان ساده، اگر Interface را مانند یک خیابان در نظر بگیریم، Torch به ما نشان می‌دهد چه خودروهایی در این خیابان در حال حرکت هستند، از کجا آمده‌اند، به کجا می‌روند و با چه سرعتی حرکت می‌کنند.

Torch می‌تواند اطلاعات مختلفی از جمله آدرس مبدأ، آدرس مقصد، پورت، پروتکل، MAC Address، VLAN ID و DSCP را نمایش دهد و نرخ ارسال و دریافت اطلاعات را نیز نشان می‌دهد.

یکی از مهم‌ترین ویژگی‌های Torch این است که اطلاعات را به‌صورت لحظه‌ای نمایش می‌دهد؛ بنابراین برای پیدا کردن مصرف‌کننده پهنای باند در همان لحظه بسیار کاربردی است.

چه زمانی باید از Torch استفاده کنیم؟

Torch بیشتر برای عیب‌یابی و بررسی سریع شبکه کاربرد دارد.

برای مثال، اگر یکی از شرایط زیر را مشاهده کردید، Torch می‌تواند ابزار مناسبی برای بررسی اولیه باشد:

مصرف پهنای باند یک سرور ناگهان افزایش پیدا کرده است.

نمی‌دانید کدام IP بیشترین ترافیک را ایجاد می‌کند.

سرعت شبکه کاهش پیدا کرده است.

یک IP ناشناس در حال ایجاد ارتباط‌های متعدد است.

می‌خواهید بدانید یک سرویس خاص مانند HTTP، HTTPS، DNS یا SSH چه مقدار ترافیک دارد.

می‌خواهید ترافیک ورودی و خروجی یک Interface خاص را در لحظه مشاهده کنید.

در محیط‌های هاستینگ نیز Torch می‌تواند برای پیدا کردن سروری که باعث افزایش ناگهانی مصرف پهنای باند شده است، بسیار مفید باشد.

نحوه باز کردن Torch در WinBox

برای استفاده از Torch در WinBox ابتدا وارد MikroTik شوید.

از منوی سمت چپ وارد بخش Tools شوید و سپس گزینه Torch را انتخاب کنید.

در پنجره Torch، ابتدا باید Interface موردنظر را انتخاب کنید.

برای مثال، اگر ترافیک اینترنت از طریق Interface به نام ether1 عبور می‌کند، همان Interface را انتخاب کنید.

پس از انتخاب Interface، اجرای Torch را شروع کنید.

در این مرحله MikroTik شروع به نمایش اطلاعات ترافیک همان Interface می‌کند.

مسیر کلی به این شکل است:

WinBox → Tools → Torch → انتخاب Interface → Start

اگر از ترمینال MikroTik استفاده می‌کنید نیز می‌توانید Torch را از مسیر زیر اجرا کنید:

/tool/torch

سپس Interface موردنظر را مشخص کنید.

آشنایی با اطلاعات نمایش داده‌شده در Torch

در هنگام اجرای Torch، ستون‌های مختلفی نمایش داده می‌شوند. هر ستون اطلاعات خاصی درباره ترافیک شبکه ارائه می‌کند.

Src. Address

این قسمت آدرس IP مبدأ را نشان می‌دهد.

برای مثال:

192.168.1.20

یعنی ترافیک از این IP شروع شده است.

در شبکه‌های هاستینگ، این قسمت می‌تواند برای پیدا کردن سروری که در حال ارسال حجم زیادی از اطلاعات است بسیار مفید باشد.

Dst. Address

این قسمت آدرس IP مقصد را نمایش می‌دهد.

برای مثال اگر یک سرور به یک IP خارجی متصل شده باشد، مقصد ارتباط در این قسمت قابل مشاهده است.

با مقایسه Source و Destination می‌توان متوجه شد اطلاعات از کجا به کجا در حال حرکت است.

Protocol

در این قسمت نوع پروتکل ارتباطی نمایش داده می‌شود.

برای مثال ممکن است مواردی مانند TCP، UDP یا ICMP مشاهده کنید.

این اطلاعات زمانی مفید هستند که بخواهید بفهمید بخش زیادی از ترافیک مربوط به چه نوع ارتباطی است.

Port

اگر ارتباط از پروتکل‌هایی مانند TCP یا UDP استفاده کند، شماره پورت نیز می‌تواند نمایش داده شود.

برای مثال:

80
443
53
22

پورت 80 معمولاً مربوط به HTTP، پورت 443 مربوط به HTTPS، پورت 53 مربوط به DNS و پورت 22 معمولاً مربوط به SSH است.

بنابراین اگر در Torch مشاهده کردید که بخش بزرگی از ترافیک روی پورت 443 قرار دارد، احتمالاً این ترافیک مربوط به ارتباطات HTTPS است.

TX Rate

TX مخفف Transmit است و مقدار داده‌ای را نشان می‌دهد که از Interface ارسال می‌شود.

برای مثال:

TX: 250 Mbps

یعنی Interface در حال ارسال اطلاعات با نرخ تقریبی 250 مگابیت بر ثانیه است.

RX Rate

RX مخفف Receive است و مقدار داده دریافتی از Interface را نشان می‌دهد.

برای مثال:

RX: 700 Mbps

یعنی Interface در حال دریافت اطلاعات با نرخ تقریبی 700 مگابیت بر ثانیه است.

تفاوت TX و RX اهمیت زیادی دارد. ممکن است یک سرور بیشتر اطلاعات دریافت کند و سرور دیگری بیشتر اطلاعات ارسال کند.

مشاهده ترافیک یک Interface خاص

یکی از ساده‌ترین کاربردهای Torch، بررسی یک Interface مشخص است.

فرض کنید MikroTik شما چند Interface دارد:

ether1
ether2
ether3
bridge
vlan100

اگر اینترنت از ether1 عبور می‌کند، با اجرای Torch روی همین Interface می‌توانید ترافیک عبوری از آن را بررسی کنید.

این روش به‌خصوص زمانی مفید است که بخواهید بفهمید در یک لحظه خاص چه چیزی باعث افزایش مصرف پهنای باند شده است.

فیلتر کردن ترافیک در Torch

اگر شبکه شلوغ باشد، نمایش تمام ترافیک ممکن است اطلاعات زیادی ایجاد کند.

در چنین شرایطی می‌توان از فیلترهای Torch استفاده کرد.

برای مثال می‌توان بررسی را به یک IP خاص محدود کرد.

فرض کنید IP سرور موردنظر شما این است:

192.168.1.50

با فیلتر کردن ترافیک بر اساس این IP، می‌توانید ارتباط‌های مربوط به همان سرور را بررسی کنید.

همچنین امکان محدود کردن بررسی بر اساس مقصد، پورت، پروتکل و برخی مشخصات دیگر وجود دارد. MikroTik در مستندات رسمی Torch، فیلتر و دسته‌بندی ترافیک بر اساس مواردی مانند Source Address، Destination Address، Port، Protocol، MAC Address، VLAN ID و DSCP را پشتیبانی‌شده معرفی می‌کند.

پیدا کردن IP پرمصرف با Torch

یکی از کاربردهای مهم Torch در شبکه‌های هاستینگ، پیدا کردن IP پرمصرف است.

فرض کنید مصرف پهنای باند سرور شما به شکل ناگهانی افزایش پیدا کرده است.

ابتدا Interface مربوط به ترافیک اینترنت را در Torch باز کنید.

سپس به ستون‌های Source Address، Destination Address و نرخ TX/RX توجه کنید.

اگر یک IP مقدار بسیار بیشتری نسبت به سایر IPها ترافیک ایجاد کرده باشد، می‌توان بررسی را روی همان IP ادامه داد.

برای مثال ممکن است چنین وضعیتی مشاهده شود:

192.168.1.10    10 Mbps
192.168.1.20    15 Mbps
192.168.1.30    12 Mbps
192.168.1.40    850 Mbps

در این حالت IP 192.168.1.40 نیاز به بررسی بیشتری دارد.

البته زیاد بودن ترافیک به‌تنهایی به معنی وجود مشکل یا حمله نیست. ممکن است این IP مربوط به یک سرور دانلود، بکاپ، استریم یا سرویس پرمصرف باشد.

پیدا کردن پورت پرمصرف

Torch می‌تواند برای بررسی ترافیک بر اساس پورت نیز استفاده شود.

فرض کنید مشاهده می‌کنید بیشتر ترافیک مربوط به پورت 443 است.

این موضوع می‌تواند نشان دهد بخش بزرگی از ارتباطات مربوط به HTTPS است.

اگر ترافیک روی پورت خاصی غیرعادی به نظر برسد، می‌توانید آن پورت را به‌صورت جداگانه بررسی کنید و سپس مشخص کنید کدام IPها از آن استفاده می‌کنند.

این روش برای عیب‌یابی سرویس‌هایی که روی پورت‌های مشخص اجرا می‌شوند بسیار کاربردی است.

بررسی TCP و UDP با Torch

یکی دیگر از کاربردهای Torch، تشخیص نوع ترافیک است.

TCP معمولاً در سرویس‌هایی مانند وب، SSH و بسیاری از ارتباطات قابل اعتماد استفاده می‌شود.

UDP نیز در سرویس‌هایی مانند DNS، VoIP، بعضی سرویس‌های VPN و برخی برنامه‌های شبکه کاربرد دارد.

اگر ناگهان حجم زیادی از UDP مشاهده کردید، بهتر است Source و Destination را نیز بررسی کنید تا مشخص شود این ترافیک مربوط به چه سرویس یا سروری است.

بررسی ترافیک ورودی و خروجی

یکی از نکات مهم هنگام استفاده از Torch این است که فقط به مقدار کلی ترافیک نگاه نکنید.

همیشه تفاوت بین RX و TX را نیز بررسی کنید.

برای مثال، اگر یک سرور مقدار زیادی RX دارد، ممکن است در حال دریافت فایل یا داده باشد.

اگر TX بسیار زیاد باشد، ممکن است سرور در حال ارسال اطلاعات به کاربران یا یک مقصد خارجی باشد.

در یک محیط هاستینگ، این تفاوت می‌تواند در پیدا کردن علت مصرف غیرعادی پهنای باند بسیار کمک‌کننده باشد.

بررسی VLAN با Torch

در شبکه‌هایی که از VLAN استفاده می‌شود، Torch می‌تواند اطلاعات VLAN ID را نیز نمایش دهد.

این قابلیت برای شبکه‌های سازمانی، دیتاسنترها و زیرساخت‌های هاستینگ که ترافیک مشتریان یا سرویس‌های مختلف روی VLANهای جداگانه قرار دارد، کاربرد زیادی دارد.

برای مثال اگر VLANهای زیر را داشته باشید:

VLAN 100 → مشتریان
VLAN 200 → سرورها
VLAN 300 → مدیریت

بررسی VLAN ID در Torch می‌تواند کمک کند مشخص شود ترافیک مشاهده‌شده مربوط به کدام بخش از شبکه است.

بررسی MAC Address با Torch

Torch فقط به IP محدود نیست و امکان بررسی MAC Address نیز دارد.

این قابلیت زمانی مفید است که بخواهید یک دستگاه مشخص را در شبکه پیدا کنید.

برای مثال ممکن است یک دستگاه IP خود را تغییر داده باشد، اما MAC Address آن ثابت باشد.

در چنین شرایطی بررسی MAC می‌تواند مسیر پیدا کردن دستگاه را ساده‌تر کند.

بررسی ترافیک قبل از Firewall

یکی از نکات بسیار مهم درباره Torch این است که ترافیکی که در Torch مشاهده می‌شود، قبل از فیلتر شدن توسط Firewall دیده می‌شود.

بنابراین ممکن است بسته‌ای را در Torch مشاهده کنید که در نهایت توسط یکی از Ruleهای Firewall حذف شده است.

این موضوع هنگام عیب‌یابی بسیار مهم است.

برای مثال ممکن است یک کاربر بگوید یک ارتباط به MikroTik نمی‌رسد. اگر همان ترافیک در Torch دیده شود اما ارتباط برقرار نشود، می‌توان بررسی Firewall را به‌عنوان مرحله بعدی انجام داد.

بنابراین مشاهده یک Packet در Torch الزاماً به این معنی نیست که آن Packet در نهایت اجازه عبور از Firewall را دریافت کرده است.

تفاوت Torch با Traffic Monitor

Torch برای مشاهده جزئیات ترافیک مناسب است، در حالی که ابزارهای آماری و مانیتورینگ معمولاً برای مشاهده وضعیت کلی Interface کاربرد بیشتری دارند.

برای مثال ممکن است Traffic Monitor فقط نشان دهد که یک Interface حدود 500 مگابیت بر ثانیه ترافیک دارد.

اما Torch می‌تواند کمک کند بفهمید این 500 مگابیت مربوط به کدام IPها، پورت‌ها و پروتکل‌ها است.

به همین دلیل، برای بررسی سریع علت افزایش مصرف پهنای باند، Torch یکی از ابزارهای کاربردی RouterOS محسوب می‌شود.

استفاده از Torch در زمان حمله یا ترافیک غیرعادی

در صورت مشاهده افزایش ناگهانی ترافیک، Torch می‌تواند برای بررسی اولیه بسیار مفید باشد.

برای مثال اگر پهنای باند خروجی یک سرور ناگهان افزایش پیدا کند، می‌توان بررسی کرد:

آیا یک IP مشخص حجم زیادی اطلاعات ارسال می‌کند؟

آیا مقصد خاصی بیش از حد ترافیک دریافت می‌کند؟

آیا تعداد زیادی ارتباط روی یک پورت خاص ایجاد شده است؟

آیا ترافیک بیشتر TCP است یا UDP؟

آیا یک VLAN مشخص حجم زیادی از ترافیک را ایجاد می‌کند؟

پاسخ به این سؤال‌ها می‌تواند مسیر عیب‌یابی را مشخص کند.

با این حال، Torch به‌تنهایی ابزار تشخیص قطعی حمله نیست و برای تحلیل امنیتی دقیق‌تر باید از ابزارهایی مانند Firewall، Connection Tracking، Traffic Flow یا Packet Sniffer نیز در کنار آن استفاده کرد.

نکات مهم هنگام استفاده از Torch

چک لیست

قبل از بررسی ترافیک، ابتدا مشخص کنید کدام Interface وظیفه انتقال ترافیک موردنظر را دارد. اگر Interface اشتباه انتخاب شود، ممکن است اطلاعاتی که مشاهده می‌کنید با چیزی که انتظار دارید متفاوت باشد.

هنگام مشاهده مصرف بالا، فقط به یک ستون توجه نکنید. Source، Destination، Protocol، Port و TX/RX را در کنار یکدیگر بررسی کنید تا تصویر دقیق‌تری از ارتباط به دست آورید.

همچنین توجه داشته باشید که Torch یک ابزار مانیتورینگ لحظه‌ای است و برای ذخیره‌سازی طولانی‌مدت اطلاعات ترافیک طراحی نشده است. اگر به گزارش‌های تاریخی و تحلیل ترافیک در بازه‌های زمانی طولانی نیاز دارید، بهتر است از ابزارهای مناسب مانیتورینگ و جمع‌آوری داده استفاده کنید.

در شبکه‌هایی که از Hardware Offloading در Bridge استفاده می‌کنند نیز باید محدودیت‌های Torch را در نظر بگیرید. طبق مستندات MikroTik، برخی Packetهایی که توسط Bridge با Hardware Offloading پردازش می‌شوند، در Torch قابل مشاهده نیستند. همچنین ترافیک Unicast بین کلاینت‌های Wireless در شرایط خاصی ممکن است در Torch دیده نشود.

آیا Torch باعث افزایش مصرف منابع MikroTik می‌شود؟

Torch برای مشاهده و دسته‌بندی ترافیک در لحظه استفاده می‌شود و در زمان بررسی، روتر باید اطلاعات بیشتری را برای نمایش پردازش کند.

به همین دلیل بهتر است روی روترهای پرترافیک، مخصوصاً تجهیزات قدرتمند دیتاسنتری، Torch را فقط در زمان موردنیاز و برای مدت مناسب اجرا کنید.

اگر هدف فقط پیدا کردن علت یک مشکل است، بهتر است ابتدا بازه کوتاهی از ترافیک را بررسی کنید و پس از پیدا کردن سرنخ، بررسی را دقیق‌تر و محدودتر کنید.

محدودیت‌های Torch

Torch ابزار بسیار خوبی برای بررسی لحظه‌ای شبکه است، اما نباید آن را با یک سیستم کامل مانیتورینگ ترافیک اشتباه گرفت.

Torch بیشتر برای پاسخ دادن به سؤال‌هایی مانند «الان چه چیزی در حال مصرف پهنای باند است؟» مناسب است.

اگر سؤال شما این باشد که «هفته گذشته کدام سرور بیشترین ترافیک را داشته است؟»، Torch ابزار مناسبی برای این نوع گزارش تاریخی نیست.

همچنین به دلیل نحوه پردازش ترافیک در RouterOS، برخی ترافیک‌ها ممکن است در شرایط خاص در Torch نمایش داده نشوند؛ بنابراین نبودن یک Packet در Torch همیشه به معنی نبودن آن Packet در شبکه نیست.

جمع بندی

Torch یکی از ساده‌ترین و کاربردی‌ترین ابزارهای MikroTik برای مشاهده ترافیک شبکه به‌صورت لحظه‌ای است.

با استفاده از آن می‌توان متوجه شد چه IPهایی در حال ارسال یا دریافت اطلاعات هستند، ارتباط‌ها از چه پورت‌هایی استفاده می‌کنند، چه پروتکل‌هایی بیشترین ترافیک را ایجاد کرده‌اند و میزان TX و RX هر ارتباط چقدر است.

برای مدیران شبکه و کارشناسان هاستینگ، Torch می‌تواند در زمان‌هایی که مصرف پهنای باند به‌صورت ناگهانی افزایش پیدا می‌کند، یک نقطه شروع بسیار مناسب برای عیب‌یابی باشد.

بهترین روش این است که ابتدا Interface صحیح را انتخاب کنید، سپس ترافیک را بر اساس IP، مقصد، پورت و پروتکل محدود کنید و در نهایت علت اصلی مصرف بالا را از روی اطلاعات به‌دست‌آمده بررسی کنید.

در کنار این موضوع، باید محدودیت‌های Torch را نیز در نظر گرفت؛ زیرا این ابزار برای مشاهده لحظه‌ای ترافیک طراحی شده و برخی ترافیک‌ها به دلیل نحوه پردازش یا Hardware Offloading ممکن است در آن نمایش داده نشوند.

اگر به‌دنبال یک روش سریع برای پاسخ به این سؤال هستید که «الان چه کسی یا چه سرویسی در شبکه من پهنای باند مصرف می‌کند؟»، Torch یکی از اولین ابزارهایی است که می‌توانید در MikroTik سراغ آن بروید.