ntopng — przewodnik po monitorowaniu ruchu sieciowego w czasie rzeczywistym (2026)

ntopng to darmowe, open-source’owe narzędzie do monitorowania i analizy ruchu sieciowego w czasie rzeczywistym, oparte na przeglądarce internetowej. Jest następcą klasycznego narzędzia ntop z 1998 roku i od lat pozostaje jednym z najpopularniejszych rozwiązań do wykrywania anomalii sieciowych, analizy przepustowości oraz identyfikacji zagrożeń bezpieczeństwa w sieciach firmowych, ISP i domowych. Projekt rozwijany jest przez firmę ntop i dostępny publicznie na GitHubie pod adresem github.com/ntop/ntopng, gdzie zgromadził ponad 7,9 tys. gwiazdek i 744 forki, co czyni go jednym z najczęściej wybieranych projektów w kategorii Network Traffic Monitoring.

W tym artykule dowiesz się, czym dokładnie jest ntopng, jak działa, jakie ma zastosowania, czym różni się wersja Community od Pro/Enterprise, a także — krok po kroku — jak zainstalować i skonfigurować ntopng na Ubuntu 22.04/24.04 LTS z oficjalnego repozytorium ntop.

Spis treści

1. Czym jest ntopng?
2. Historia projektu — od ntop do ntopng
3. Najważniejsze funkcje ntopng
4. Architektura i technologie
5. Do czego wykorzystuje się ntopng?
6. ntopng Community vs Pro vs Enterprise
7. Wymagania systemowe
8. Instalacja ntopng na Ubuntu — instrukcja krok po kroku
9. Pierwsze logowanie i podstawowa konfiguracja
10. Integracje: NetFlow, sFlow, InfluxDB, Grafana i inne
11. ntopng w Dockerze i Kubernetes
12. Bezpieczeństwo i dobre praktyki wdrożenia
13. Rozwiązywanie typowych problemów
14. ntopng a inne narzędzia do monitorowania sieci
15. Najczęściej zadawane pytania (FAQ)
16. Podsumowanie

1. Czym jest ntopng?

ntopng (ntop next generation) to aplikacja webowa do monitorowania i analizy ruchu sieciowego, publikowana na licencji GPLv3. Umożliwia administratorom sieci obserwację w czasie rzeczywistym, kto, z kim, ile i jakim protokołem komunikuje się w sieci — wszystko z poziomu przejrzystego panelu dostępnego w przeglądarce.

Zgodnie z oficjalnym opisem repozytorium, ntopng to „Web-based Traffic and Security Network Traffic Monitoring” — narzędzie łączące funkcje klasycznego sniffera ruchu z elementami systemu wykrywania zagrożeń (network security monitoring). Dzięki temu sprawdza się zarówno jako narzędzie diagnostyczne dla działów IT, jak i jako element większej strategii bezpieczeństwa sieciowego (NDR — Network Detection and Response).

Najważniejsze cechy ntopng w pigułce:

• działa w przeglądarce (interfejs webowy, domyślnie na porcie 3000),
• monitoruje ruch w czasie rzeczywistym na poziomie hostów, interfejsów, protokołów i aplikacji (Deep Packet Inspection dzięki bibliotece nDPI),
• obsługuje standardy NetFlow, sFlow, IPFIX,
• potrafi działać jako sonda pasywna (nasłuch na interfejsie) lub jako kolektor danych flow z routerów i przełączników,
• oferuje REST API do integracji z innymi systemami,
• jest wieloplatformowy — działa na Linuksie, macOS, Windows, FreeBSD/pfSense/OPNsense oraz Raspberry Pi.

2. Historia projektu — od ntop do ntopng

Pierwotny ntop powstał w 1998 roku jako prosty analizator ruchu sieciowego działający w trybie tekstowym i webowym. Wraz z rozwojem sieci i rosnącymi wymaganiami dotyczącymi wydajności, skalowalności oraz użyteczności, twórcy — pod szyldem firmy ntop — stworzyli całkowicie nową implementację: ntopng, czyli „ntop next generation”. Nowa wersja została napisana od podstaw z myślą o wydajności (silnik w C++), elastyczności (logika biznesowa w Lua) oraz nowoczesnym interfejsie użytkownika (obecnie oparty na Vue.js).

Projekt jest aktywnie rozwijany — repozytorium na GitHubie liczy ponad 27 tysięcy commitów, a najnowsze stabilne wydanie to wersja 6.6 (wydana w listopadzie 2025 r.). Kod źródłowy jest w pełni jawny i dostępny do wglądu, co odróżnia ntopng od wielu komercyjnych, zamkniętych systemów NMS (Network Monitoring System).

3. Najważniejsze funkcje ntopng

Monitorowanie ruchu w czasie rzeczywistym

ntopng pokazuje aktywne hosty, przepływy (flows), wykorzystanie pasma oraz protokoły w czasie rzeczywistym, z odświeżaniem danych co kilka sekund.

Deep Packet Inspection (DPI) dzięki nDPI

Silnik nDPI, rozwijany przez tę samą firmę, pozwala rozpoznawać aplikacje i protokoły na podstawie zawartości pakietów, a nie tylko numerów portów — dzięki temu ntopng identyfikuje ruch generowany np. przez Netflix, Zoom, BitTorrent czy konkretne gry online, nawet jeśli korzystają z niestandardowych portów.

Obsługa NetFlow / sFlow / IPFIX

ntopng może działać jako kolektor danych eksportowanych przez routery i przełączniki (Cisco, MikroTik, Juniper i inne), co pozwala monitorować duże, rozproszone sieci bez konieczności instalowania sond na każdym segmencie.

Alerty i wykrywanie anomalii

Wbudowany system alertów sygnalizuje m.in. nietypowe wzorce ruchu, ataki typu port scan, ruch do znanych złośliwych adresów IP (integracja z listami reputacyjnymi) czy przekroczenie progów pasma.

Historyczne dane i raportowanie

ntopng przechowuje dane historyczne (lokalnie lub w zewnętrznych bazach szeregów czasowych, np. InfluxDB), co umożliwia analizę trendów, tworzenie raportów oraz retrospektywne dochodzenia po incydentach.

REST API i rozszerzalność

Otwarte API pozwala integrować ntopng z systemami SIEM, panelami typu Grafana czy własnymi skryptami automatyzującymi reakcję na alerty.

Obsługa Docker, Kubernetes i eBPF

Nowoczesne wdrożenia coraz częściej wymagają monitorowania kontenerów i mikroserwisów — ntopng wspiera to poprzez integrację z eBPF oraz natywne działanie w środowiskach konteneryzowanych.

4. Architektura i technologie

Zgodnie ze statystykami repozytorium GitHub, kod ntopng składa się głównie z:

• Lua (ok. 56%) — logika aplikacji, skrypty raportowania, integracje,
• C++ (ok. 25%) — wydajny silnik przetwarzania pakietów i danych flow,
• Vue.js (ok. 12%) — nowoczesny, reaktywny interfejs webowy,
• JavaScript — dodatkowa logika front-endowa,
• niewielki udział C oraz Python.

Taka architektura (rdzeń w C++, logika w Lua, UI w Vue) zapewnia dobrą równowagę między wydajnością przy przetwarzaniu dużego ruchu sieciowego a łatwością rozbudowy i utrzymania interfejsu.

5. Do czego wykorzystuje się ntopng?

ntopng znajduje zastosowanie w wielu scenariuszach:

• Monitoring sieci firmowej — kontrola przepustowości, identyfikacja użytkowników i aplikacji zużywających najwięcej pasma.
• Wykrywanie zagrożeń i incydentów bezpieczeństwa — identyfikacja podejrzanego ruchu, skanowania portów, komunikacji z serwerami C2 (command & control).
• Monitoring sieci domowej / SOHO — świadomi użytkownicy instalują ntopng na routerach opartych o pfSense/OPNsense, by mieć pełny wgląd w ruch domowników i urządzeń IoT.
• Sieci operatorów (ISP) — analiza dużego wolumenu ruchu na poziomie sFlow/NetFlow z urządzeń szkieletowych.
• Środowiska Kubernetes/Docker — monitorowanie ruchu między kontenerami i mikroserwisami.
• Analiza powydarzeniowa (forensics) — dzięki danym historycznym można prześledzić, co działo się w sieci w konkretnym momencie w przeszłości.

6. ntopng Community vs Pro vs Enterprise

ntopng dostępny jest w kilku wariantach:

Do większości zastosowań domowych, edukacyjnych oraz do monitoringu niewielkich i średnich sieci firmowych wersja Community w zupełności wystarcza i to właśnie ją instalujemy w tym poradniku.

7. Wymagania systemowe

Przed instalacją warto sprawdzić, czy system spełnia minimalne wymagania:

• System operacyjny: Ubuntu 22.04 LTS (Jammy) lub 24.04 LTS (Noble) — oficjalnie wspierane przez repozytorium ntop (dostępne są też pakiety dla Debiana, CentOS/RHEL/Rocky/AlmaLinux, Windows, Raspberry Pi oraz FreeBSD/OPNsense/pfSense),
• Uprawnienia: dostęp do konta z prawami sudo/root,
• Sieć: co najmniej jeden interfejs sieciowy do monitorowania (fizyczny lub odbierający ruch NetFlow/sFlow),
• Zasoby: dla małych sieci wystarczą 1–2 rdzenie CPU i 1–2 GB RAM; przy większym ruchu i dłuższej retencji danych zalecane są wyższe zasoby oraz szybszy dysk (SSD),
• Otwarty port TCP 3000 (domyślny port panelu webowego) w zaporze sieciowej, jeśli dostęp ma być możliwy spoza serwera.

8. Instalacja ntopng na Ubuntu — instrukcja krok po kroku

Poniższa instrukcja opisuje najprostszą i zalecaną metodę instalacji ntopng — z gotowych pakietów binarnych z oficjalnego repozytorium ntop, bez konieczności kompilowania ze źródeł.

Krok 1. Sprawdź wersję Ubuntu

lsb_release -a

Oficjalne repozytorium ntop wspiera Ubuntu 22.04 (Jammy) i 24.04 (Noble) LTS.

Krok 2. Zaktualizuj system i zainstaluj zależności

sudo apt update && sudo apt upgrade -y
sudo apt install -y software-properties-common wget curl gnupg apt-transport-https
sudo add-apt-repository universe

Krok 3. Pobierz i zainstaluj pakiet repozytorium ntop

Dla Ubuntu 24.04:

wget https://packages.ntop.org/apt-stable/24.04/all/apt-ntop-stable.deb
sudo apt install ./apt-ntop-stable.deb

Dla Ubuntu 22.04:

wget https://packages.ntop.org/apt-stable/22.04/all/apt-ntop-stable.deb
sudo apt install ./apt-ntop-stable.deb

Ten pakiet doda do systemu oficjalne repozytorium ntop wraz z wymaganym kluczem GPG, dzięki czemu apt będzie mógł bezpiecznie pobierać i weryfikować pakiety.

Krok 4. Zaktualizuj listę pakietów i zainstaluj ntopng

sudo apt update
sudo apt install ntopng

Wskazówka: jeśli planujesz zbierać dane NetFlow/sFlow z routerów lub przełączników, warto doinstalować także nprobe — dodatkowe narzędzie z pakietu ntop, które eksportuje dane flow do ntopng. Do samego uruchomienia ntopng nie jest ono jednak wymagane.

Krok 5. Skonfiguruj interfejs sieciowy

Otwórz plik konfiguracyjny w edytorze:

sudo nano /etc/ntopng/ntopng.conf

Ustaw interfejs, który ma być monitorowany (np. eth0), oraz port panelu webowego:

-i=eth0
-w=3000

Zapisz plik i wyjdź z edytora (Ctrl+O, Enter, Ctrl+X).

Krok 6. Uruchom i włącz usługę

sudo systemctl start ntopng.service
sudo systemctl enable ntopng.service
sudo systemctl status ntopng.service

Prawidłowo działająca usługa powinna wyświetlić status active (running).

Krok 7. Zaloguj się do interfejsu webowego

Otwórz przeglądarkę i przejdź pod adres:

http://<adres-IP-serwera>:3000

Domyślne dane logowania to admin / admin — przy pierwszym logowaniu system poprosi o natychmiastową zmianę hasła. Koniecznie to zrób, zanim udostępnisz port 3000 w sieci publicznej.

9. Pierwsze logowanie i podstawowa konfiguracja

Po zalogowaniu warto wykonać kilka czynności początkowych:

1. Zmień domyślne hasło administratora — to absolutny priorytet bezpieczeństwa.
2. Sprawdź wykryte interfejsy w zakładce ustawień i upewnij się, że ntopng nasłuchuje na właściwym interfejsie sieciowym (np. tym podłączonym do przełącznika z portem SPAN/mirror, jeśli chcesz widzieć cały ruch sieci, a nie tylko ruch samego serwera).
3. Skonfiguruj strefy czasowe i limity retencji danych, aby dopasować przechowywanie historii do dostępnej przestrzeni dyskowej.
4. Włącz powiadomienia/alerty (np. e-mail, Slack, webhook) w sekcji Alerts/Notifications, aby otrzymywać informacje o istotnych zdarzeniach bez konieczności ciągłego monitorowania panelu.
5. Zweryfikuj działanie nDPI — w widoku „Applications” powinny pojawić się rozpoznane protokoły i aplikacje generujące ruch.

10. Integracje: NetFlow, sFlow, InfluxDB, Grafana i inne

ntopng rzadko działa w izolacji — jego prawdziwa siła ujawnia się w integracji z innymi narzędziami:

• NetFlow/sFlow/IPFIX z routerów i przełączników — pozwala monitorować ruch bez instalowania agenta na każdym urządzeniu; wystarczy skonfigurować eksport danych flow do adresu IP i portu, na którym nasłuchuje ntopng.
• InfluxDB — zewnętrzna baza szeregów czasowych umożliwia długoterminowe przechowywanie metryk i szybsze zapytania historyczne niż wbudowana baza lokalna.
• Grafana — w połączeniu z InfluxDB pozwala budować własne, zaawansowane dashboardy wykraczające poza domyślny interfejs ntopng.
• Elasticsearch/Kibana — repozytorium ntopng zawiera gotowe komponenty (kibana/) ułatwiające eksport i wizualizację logów.
• nProbe — rozszerza możliwości zbierania danych flow, w tym eksport ruchu z sond sprzętowych.
• REST API — umożliwia automatyzację, integrację z SIEM-ami oraz systemami ticketowymi.

11. ntopng w Dockerze i Kubernetes

Dla środowisk konteneryzowanych ntop udostępnia oficjalne obrazy Docker (katalog docker/ w repozytorium GitHub), co pozwala uruchomić ntopng jako kontener bez ingerencji w system hosta:

docker run -d --name ntopng \
  --net=host \
  -v /var/lib/ntopng:/var/lib/ntopng \
  ntop/ntopng -i eth0 -w 3000

W środowiskach Kubernetes ntopng można wdrożyć jako DaemonSet monitorujący ruch na każdym węźle klastra, często w połączeniu z eBPF do obserwacji ruchu na poziomie sieci kontenerów (CNI), co jest szczególnie przydatne przy analizie mikroserwisów i ruchu wschód–zachód (east-west traffic).

12. Bezpieczeństwo i dobre praktyki wdrożenia

• Nigdy nie zostawiaj domyślnych danych logowania admin/admin — zmień hasło zaraz po instalacji.
• Nie wystawiaj portu 3000 bezpośrednio do internetu. Jeśli potrzebujesz zdalnego dostępu, postaw przed ntopng reverse proxy (np. Nginx) z TLS oraz uwierzytelnianiem, albo udostępniaj panel wyłącznie przez VPN.
• Ogranicz dostęp na poziomie zapory sieciowej (UFW/iptables) tylko do zaufanych adresów IP administratorów.
• Regularnie aktualizuj pakiet poleceniem sudo apt update && sudo apt upgrade ntopng, aby otrzymywać poprawki bezpieczeństwa i nowe sygnatury nDPI.
• Monitoruj zużycie zasobów — przy dużym ruchu sieciowym ntopng może zużywać znaczące ilości CPU i RAM; warto skonfigurować limity retencji danych i rotację logów.
• Twórz kopie zapasowe konfiguracji (/etc/ntopng/) przed większymi zmianami lub aktualizacjami.

13. Rozwiązywanie typowych problemów

Usługa nie startuje / status failed

Sprawdź logi poleceniem journalctl -u ntopng -e oraz upewnij się, że interfejs wskazany w /etc/ntopng/ntopng.conf faktycznie istnieje (ip a).

Panel webowy niedostępny na porcie 3000

Zweryfikuj, czy usługa działa (systemctl status ntopng), czy port nie jest zajęty przez inną aplikację (ss -tulpn | grep 3000) oraz czy zapora sieciowa (UFW) nie blokuje połączeń przychodzących.

Brak ruchu w interfejsie / puste statystyki

Najczęstsza przyczyna to nasłuchiwanie na niewłaściwym interfejsie sieciowym — w środowisku ze switchem konieczne może być skonfigurowanie portu SPAN/mirror, aby ntopng widział cały ruch, a nie tylko pakiety adresowane bezpośrednio do serwera.

Błąd instalacji pakietu .deb

Upewnij się, że pobrałeś pakiet repozytorium zgodny z wersją systemu (22.04 vs 24.04) i że wykonałeś sudo apt update po jego zainstalowaniu, zanim spróbujesz zainstalować ntopng.

14. ntopng a inne narzędzia do monitorowania sieci

ntopng dobrze uzupełnia powyższe narzędzia — często wdraża się go razem z systemami takimi jak Grafana czy Zabbix, a nie zamiast nich.

15. Najczęściej zadawane pytania (FAQ)

Czy ntopng jest darmowy?

Tak. Wersja Community jest w pełni darmowa i open source (licencja GPLv3), dostępna publicznie na GitHubie. Firma ntop oferuje dodatkowo płatne wersje Pro i Enterprise z rozszerzonymi funkcjami i wsparciem technicznym.

Na jakich systemach działa ntopng?

ntopng oficjalnie wspiera Linuksa (Debian/Ubuntu, CentOS/RHEL/Rocky/AlmaLinux), Windows, macOS, FreeBSD (w tym OPNsense i pfSense) oraz Raspberry Pi/Debian ARM.

Jaki jest domyślny port panelu ntopng?

Domyślnie interfejs webowy działa na porcie TCP 3000 (adres w formacie http://adres-ip:3000).

Czym różni się ntopng od NetFlow Analyzera?

ntopng może pełnić rolę zarówno pasywnej sondy analizującej ruch na żywo (przechwytywanie pakietów), jak i kolektora danych NetFlow/sFlow/IPFIX eksportowanych z routerów — w jednym narzędziu łączy funkcje obu podejść.

Czy ntopng nadaje się do monitorowania sieci domowej?

Tak, jest chętnie wykorzystywany na routerach opartych o pfSense/OPNsense oraz na małych serwerach (np. Raspberry Pi) do monitorowania ruchu urządzeń domowych i IoT.

Jak zmienić domyślne hasło administratora ntopng?

Po pierwszym zalogowaniu (admin/admin) system automatycznie poprosi o ustawienie nowego hasła — należy to zrobić natychmiast po instalacji, przed udostępnieniem panelu w sieci.

Czy ntopng wymaga kompilacji ze źródeł?

Nie — na Ubuntu, Debianie i innych wspieranych dystrybucjach można zainstalować gotowe pakiety binarne z oficjalnego repozytorium packages.ntop.org, co jest szybsze i prostsze niż kompilacja.

16. Podsumowanie

ntopng to sprawdzone, dojrzałe i wciąż aktywnie rozwijane narzędzie open source do monitorowania ruchu sieciowego w czasie rzeczywistym. Łączy w sobie precyzyjną analizę protokołów dzięki technologii nDPI, wsparcie dla standardów NetFlow/sFlow/IPFIX, elastyczne API oraz przejrzysty interfejs webowy — a wszystko to dostępne bezpłatnie w wersji Community na licencji GPLv3. Dzięki gotowym pakietom z oficjalnego repozytorium packages.ntop.org instalacja na Ubuntu 22.04/24.04 LTS zajmuje dosłownie kilka minut, co czyni ntopng jednym z najszybszych sposobów na uzyskanie realnego wglądu w to, co dzieje się w Twojej sieci.

Kod źródłowy, dokumentację API i najnowsze wydania znajdziesz w oficjalnym repozytorium: github.com/ntop/ntopng.