Frage zum Messen von Netzwerktraffic

[mistersixt]

Moin moin,

ich möchte den Traffic einer Applikation messen, die auf Maschine A mit Display auf Maschine B läuft. Sprich, ich mache ein telnet von Maschine B auf Maschine A, setze DISPLAY auf Maschine B und starte eine X11-Applikation, die permanent ein paar Dutzend Zahlenwerte updated.

Um den traffic zu messen, den diese Applikation über X verursacht, setze ich iptraf auf beiden Maschinen ein, ich definiere einen Filter, der alles auf Port 6000 (X halt) mitschneidet und mir den traffic in kbit/s anzeigt.

So, jetzt kommt das eigentliche Problem: bei ca. 50% der Messungen liefert mir iptraf einen Rate von ca. 50 bis 80 kbit/s, bei den anderen ca. 50% eine Rate von 300 bis 1000 kbit/s. Die gleiche Applikation, der gleiche Filter!!! Ferner sind die gezählten Pakete bei den beiden iptrafs (Maschine A und B) nicht identisch, die Zahlen laufen auseinander, obwohl im iptraf-Statusfenster die beiden gleichen Verbindungen angezeigt werden, beide Filter identisch sind und beide bei 0 Netzwerkpaketen starten.

Hat da iptraf ne Macke?

Ich habe dann nach anderen Tools gesucht, die mir diesen Wert ausgeben können, habe aber nichts Vergleichbares gefunden. Ich hatte dann noch die Idee, mit tcpdump den Traffic roh in ein File zu schreiben, nach X Sekunden die Applikation zu killen und dann die Grösse des Files durch die Sekunden zu teilen ("tcpdump -w /tmp/dump.tcpdump tcp src port 6000 or tcp dst port 6000"), macht das so Sinn oder mache ich einen Gedankenfehler?

Freue mich über Vorschläge jeglicher Art.

Gruss, mistersixt.

[edit]
Uff, habe jetzt noch trafshow gefunden, das Tool zeigt mir nochmal andere Werte an als iptraf; wenn ich beide Programme parallel laufen lassen, sind die Werte immer(!) weit auseinander...
[/edit]

[mistersixt]

Ok, ich glaube, ich habs selbst rausgefunden: iptraf hat ab und an eine Macke, die niedrigen Werte stimmen offensichtlich nicht, das tritt dann auf, wenn man den Filter setzt, die Applikation startet, wieder beendet und dann nochmal startet, dann zeigt iptraf ca. Faktor 10 zu wenig an. Wenn man iptraf neu startet mit den gleichen Filtereinstellungen, stimmt es wieder. iftop ist ein nettes Tool, damit bin ich dem Problem auf die Schliche gekommen.

Noch was ganz Interessantes: wenn man die X-Session mittels Compression und blowfish (ist schneller als 3des) durch ssh laufen lässt, loift nur 1/5tel des Traffics, also anstatt beispielsweise 1 mbit/s nur noch ca. 200 kbit/s.

Gruss, mistersixt.