сложилась такая ситуация:сеть держится на домене под вин2003 (через него раздача инета ип), тутже инет идет от сервака под линуксом (там настроена маршрутизация, спутник, учет трафика). Суть проблемы: когда в офисе никого небыло выкачалось из инета N трафика, через учет трафика ничего не указано (такого колва трафа там просто не накапало), конечно странно потомучто если там нету то инет отрезается (самс+сквид стоят). Хотел бы узнать, можно ли посмотреть в домене кто в это время был подключен (учитывая то что оба сервака + несколько компов в офисе невыключаются никогда)?

Если настроена регистрация событий входа-выхода юзеров (а вообще должна бы) - см. журнал аудита.

пересмотрел, там в основном SYSTEM и включенные компьютеры (но с них трафик этот не шол)

Более чем странная вообще ситуация.
Начните с того, что запросите у провайдера логи по этому трафику. Хотя бы понять, куда и откуда текло. Может, это просто ошибка систмы биллинга провайдера - и такое бывает.
Проанализируйте свою систему учёта - что могло просочиться мимо неё. Какой тип трафика, с каких узлов. Как правило выясняется, что из-за неправильных настроек не учитывается трафик самОй шлюзовой машины, но возможны варианты - скажем не учитывается ICMP или POP3/IMAP4/SMTP трафик.
Если доменные логи показывают, что никто не подключался - анализируйте возможность работы станций без входа в домен. В т.ч. при загрузке с внешних носителей. Смотрите логи самих рабстанций. В т.ч. и тех, которые формально должны были стоять выключенными.

"При условии, что ваша подписка активна, посланный на ваш IP адрес трафик, будет засчитан вам поскольку при работе по одностороннему доступу через спутник, классифицировать запрашиваемый это трафик или паразитный провайдер со своей стороны не может." (с) (с сайта провайдера)
Так что это отпадает сразу


В этом то и странность: в проксе ничего по этому поводу нету, а подключится мимо домена (без входа в домен) получитается только если знать логин/пароль, иначе прокси его отвергнет (уже проверяли). Тогда в этом случае велись логи на проксе. 


ну 4гб через почту я сомневаюсь что можно скачать....


Они, соответственно, могут совершенно автономно работать без входа в домен, но чтоб войти на проксю всеравно нужен логин/пароль (опятьже через логи все пройдет)

Соответственно остается 2 варианта: ктото зашел на сам сервер либо воспользовался нашими настройками для двб карты.
Если это первый случай, то надо узнать куда вообще были сделаны запросы и кем (хеш и куки чисты). По идее (если верить логам) некий комп с "ненашем" именем в пятницу вечером получил по dhcp ип (траф был выкачан в воскресенье). Возможно ли просмотреть сеансы конекта на серв по удаленному рабочему столу или телнету?

Добавлено @ 11:52
забыл добавить что по камерам (которые висят в здании) никого лишнего на выходных в здание не входило/выходило, значит подключение было произведенно удаленно (видимо какраз тот "ненаш" зарегестрированный вечером комп)

Это сообщение отредактировал(а) w03zd8rc - 8.6.2009, 13:21

нельзя ли узнать его мак-адрес (чтоб в дальнейшем, по возможности, попробовать пробить этот мак через провайдеров (вдруг где появлялся))
в журнале регистрации указывается только имя, и то что он (каким образом - вообще непонятно) в домене

смотрите dhcp  сервер

Добавлено через 1 минуту и 31 секунду
если у вас к примеру не иссекаемая аренда, то выверяйте ваши айпи и исключайте ваши. 

Ты сперва запроси, получи, проанализируй. А потом говори, отпадает или нет.

уже пробовали. "Мы не ведем логов переданных клиенту файлов поэтому ничем помоч вам не можем" (с)

Тебе нужны не файлы, а лог пакетов. 
Source IP:port - Destination IP:port - bytes

По их словам они вообще не ведут статистику активности пользователя, т.е. о том что творится на акаунте вообе никто из них не знает (и машины тоже). Вот так вот вежливо они нас послали =/

Ну тогда смело заявляй, что такого трафика у тебя не было... заказным письмом, с приложением своих логов (шлюз-то у тебя регистрирует траф круглосуточно?)... если они не ведут статистики - где доказательства, что этот траф реально притёк? может, тебя тупо разводят?
И прорабатывай вопрос смены провайдера.

про смену провайдера это немного проблемотично - займет минимум месяца 2 (а учитывая то, что ща все поголовно в отпуск уходят то больше) пока "предложение" пройдет через все нужные руки и соберет все необходимые подписи. Вообще была мысля что ктото проник на сам сервак (удаленно), потомучто как я сюда пришел пароли не менял (ступил, лень было - черезчур их тут много), а знало их, как мне тут толькочто сообщили, немало народу.

w03zd8rc, вы выпрашиваете варианты для того, чтобы их отвергать? Новая игра, а мы не в курсе?

я хочу узнать, регистрирует ли вин2003 ВСЕ выходы в интернет (включая выход с самого сервера)