Карта сети: кто с кем соединяется

Карта сети показывает, какие хосты, процессы и адреса обмениваются данными: внутри вашей сети, с базами и серверами, с интернетом. Ничего не нужно настраивать в приложениях. Включается одной галочкой на всю организацию и так же выключается.

Как включить

Портал → карточка организации → вкладка «Хосты» → галочка «Карта сети». Агенты подхватывают её в течение минуты. По умолчанию карта выключена: решение об установке eBPF-агента на ваши серверы принимаете вы.

Данные — в дашборде «Сеть: связи хостов» вашей Grafana.

Linux: eBPF без root

На Linux-хостах агент Voltir ставит Grafana Beyla — открытый eBPF-агент — в режиме только сетевых метрик: сколько байт прошло между какими адресами и по какому протоколу.

Не от root. Beyla работает от отдельной системной учётки monebpf без оболочки и домашнего каталога. Ей выдаются только четыре права ядра: CAP_BPF, CAP_PERFMON, CAP_NET_RAW, CAP_DAC_READ_SEARCH. CAP_SYS_ADMIN — права, близкого к root, — у неё нет.
Ничего не меняет в системе. Настройки безопасности ядра (perf_event_paranoid и другие) агент не трогает.
Не слушает сеть. Метрики отдаются только на 127.0.0.1 — снаружи порт закрыт на уровне службы.
Ограничена в ресурсах: не больше 512 МБ памяти и половины ядра; на практике ~100 МБ и меньше 2% CPU.
Ставится только там, где включено. Бинарь (~150 МБ) скачивается из репозитория платформы по токену агента, контрольная сумма сверяется. При выключении служба останавливается, а бинарь удаляется.

Требования: ядро 5.8 и новее с BTF (/sys/kernel/btf/vmlinux — есть в Debian 11+, Ubuntu 20.10+, RHEL 9 и их производных), x86_64 или arm64, агент 1.7+. На хосте со старым ядром карта просто не включается — остальной мониторинг работает как раньше.

Почему только сетевые метрики. Тот же eBPF-агент умеет считать запросы HTTP и SQL по каждому процессу без правки кода, но на Debian и Ubuntu для этого нужно либо право CAP_SYS_ADMIN, либо ослабить настройку ядра. Ни то, ни другое мы на серверах клиентов не делаем. Для запросов приложений есть трейсы.

Windows: снимок соединений

На Windows eBPF для промышленных серверов пока не готов, поэтому агент раз в минуту снимает список установленных TCP-соединений штатными средствами Windows (без драйверов): процесс, направление (входящее на ваш порт или исходящее), адрес и порт другой стороны. На хост — не больше 300 таких связок. Нужен Windows-агент 1.7+.

Что на дашборде

Хостов на карте, трафик Linux-хостов, соединения Windows и число внешних адресов за период;
Linux: кто с кем обменивается трафиком — пары адресов с наибольшим объёмом;
Внешние адреса: куда ходят хосты — обмен с адресами вне частных сетей. Здесь видно и ожидаемое (облака, обновления), и то, чего вы не ждали;
Самые нагруженные связи — скорость обмена во времени;
Windows: соединения процессов — какой процесс с каким адресом и портом соединяется.

Метрики — beyla_network_flow_bytes_total (Linux) и voltir_netconn_connections (Windows); по ним можно строить свои панели и алерты, например «хост начал ходить на новый внешний адрес».

Если карта пустая

На Linux-хосте:

cat /var/lib/monitoring-agent/netmap.state     # on | off | unsupported: причина | error: причина
journalctl -u monitoring-netmap-sync -n 20     # включение и выключение
journalctl -u monitoring-netmap -n 20          # сама Beyla

На Windows: Get-Content "C:\Program Files\MonitoringAgent\conf\netmap.mode" должен показывать on, а в каталоге textfile — появиться netmap.prom.