Внезапная остановка подсчета трафика

[route]

Добрый день, коллеги!
Внезапно биллинг перестал получать трафик от коллектора.
В логах биллинга и ничего нет, коллектор тоже молчит. Бил 49.32
Фаирвол :

#!/bin/sh -
f='/sbin/ipfw'

ifOut='sk0'
my_out_nets='ччч'
nod_net='чччч'
nod_kernel='ччч'

ipcad_port='120'

${f} add 50 allow tcp from any to me 22
${f} add 51 allow tcp from me 22 to any

${f} add 100 allow ip from any to any via lo0
${f} add 120 skipto 1000 ip from me to any
${f} add 130 deny icmp from any to any in icmptype 5,9,13,14,15,16,17
${f} add 140 skipto 2000 ip from any to me

${f} add 200 skipto 500 ip from any to any via ${ifOut}

${f} add 300 skipto 4500 ip from any to any in
${f} add 350 divert ${ipcad_port} ip from any to any
${f} add 450 allow ip from any to any

${f} add 500 skipto 32500 ip from any to ${my_out_nets} in
${f} add 550 deny ip from any to any in

# -> ipcad
${f} add 600 divert ${ipcad_port} ip from any to any
${f} add 650 allow ip from ${my_out_nets} to any
${f} add 700 divert natd ip from any to any
${f} add 800 allow ip from any to any

${f} add 1000 allow tcp from any to any setup keep-state
${f} add 1010 allow udp from any to any keep-state
${f} add 1030 allow ip from any to any

${f} add 2000 check-state
${f} add 2010 skipto 2500 ip from any to any via ${ifOut}
${f} add 2200 allow icmp from any to any
${f} add 2300 allow udp from any to any 53,7723
${f} add 2350 allow ip from ччччч to any
${f} add 2351 allow ip from ччччч to any
${f} add 2400 deny ip from any to any

${f} add 2500 divert natd ip from any to any
${f} add 2510 skipto 32500 ip from any to not me

# Inet -> Me
${f} add 2600 allow icmp from any to any
${f} add 2700 allow ip from ${nod_kernel} to any
${f} add 2900 deny ip from any to any

${f} add 4500 allow ip from any to ${nod_net}


${f} add 32490 deny ip from any to any
${f} add 32500 allow ip from ${nod_net} to any

${f} add 65530 deny ip from any to any

Спасибо всем за помощь!

[VitalVas]

ipcad.conf в студию

[route]

capture-ports disable;
interface divert port 120 netflow-disable;
interface sk0;

rsh enable at 127.0.0.1;
rsh enable at xxxxxxxxx;
rsh root@xxxxxxxx admin;
rsh root@127.0.0.1 admin;
rsh ttl = 6;
rsh timeout = 30;
dumpfile = ipcad.dump;
chroot = /tmp;
memory_limit = 50m;

[stix]

в /tmp хоть есть файлы ipcad?

[route]

Есть

[stix]

а ядро сгребает эти файлы?

[route]

В каком смысле?

[stix]

из tmp

[route]

Ядро и коллектор разнесены по разным машинам. А если rsh-ом попытаться с ядра забрать трафик результат 0.

[stix]

как-то неправильно у тебя работает коллектор и сенсор

Код:

capture-ports disable;
interface vlan500;
interface vlan501;
interface vlan502;
interface vlan503;
interface vlan504;
interface vlan505;
interface vlan506;
interface vlan507;
interface vlan508;
interface vlan509;
interface vlan510;
interface vlan511;
interface vlan512;
interface vlan513;
interface vlan514;
interface vlan515;
interface vlan516;
interface vlan517;
interface vlan518;
interface vlan519;
interface vlan520;
interface vlan521;
interface vlan522;
interface vlan523;
interface vlan524;
interface vlan525;
interface vlan526;
interface vlan527;
interface vlan528;
interface vlan529;
interface vlan530;
interface vlan531;
interface vlan532;
и.т.д
netflow export destination 191.1.130.18 8888;
netflow export version 5;
dumpfile = ipcad.dump;
chroot = /tmp;
memory_limit = 50m;

так у меня валит неспеша трафик на netflow коллектор, на который разные системы отправляют флоу потоки
а он их разгребает
легко контролировать через tcpdump

[route]

Сделал уже как в доке, через порты 1,2. Эффект тот же.
Но трафик попадает в фаирвол :

00350 27609194 17331143444 divert 1 ip from any to any
00351 26680025 17291232518 divert 2 ip from any to any
00600 32517910 28520347574 divert 1 ip from any to any

[stix]

смотри настройки коллектора
откуда он будет собирать данные

[route]

Может что пропустил ?

capture-ports disable;
interface divert port 1 netflow-disable;
interface divert port 2 netflow-disable;
rsh enable at 127.0.0.1;
rsh enable at ххххххх;
rsh root@хххххх admin;
rsh root@127.0.0.1 admin;
rsh ttl = 6;
rsh timeout = 30;
dumpfile = ipcad.dump;
chroot = /tmp;
memory_limit = 50m;

[stix]

это сенсор

[route]

смотри настройки коллектора
откуда он будет собирать данные

Может вопрос покажется странным но где их смотреть ?