ntopng è una sonda di analisi del traffico di rete che si usa interamente da un browser. Lo sviluppa ntop, una piccola società di ingegneria europea nata dal progetto libero ntop avviato nel 1998, e la sua edizione Community è distribuita con licenza GPL v3. Il suffisso ng sta per next generation: all’uscita della prima versione, nel giugno 2013, l’azienda spiegò di aver riscritto da zero lo strumento originale dopo quindici anni.
La versione 7.0, pubblicata il 22 settembre 2026 secondo il repository GitHub del progetto, ha sostituito gran parte dell’interfaccia con un frontend Vue.js e ha aggiunto funzioni che vanno oltre il semplice monitoraggio, dall’integrazione con Wazuh alle viste sul routing BGP.
A cosa serve ntopng
L’idea è osservare il traffico in sé, anziché affidarsi ai contatori di un apparato. ntopng cattura i pacchetti su una o più interfacce, oppure riceve i flussi sFlow, NetFlow e IPFIX esportati dai router tramite nProbe, la sonda della stessa azienda, e ricostruisce le conversazioni tra gli host. La libreria nDPI, anch’essa sviluppata da ntop, riconosce l’applicazione dietro ogni flusso, YouTube, una VPN, un trasferimento SMB o una richiesta DNS, anche quando la porta non dice nulla. Tutto finisce in Redis, che deve girare sulla stessa macchina, e in serie temporali RRD, InfluxDB o ClickHouse.
L’interfaccia web, servita in HTTPS sulla porta 3001 per impostazione predefinita, mostra gli host più attivi, i protocolli dominanti, i flussi in corso, una mappa geografica delle comunicazioni e soprattutto gli avvisi: soglie superate, comportamenti sospetti, contatti con indirizzi presenti in liste nere. Script in Lua permettono di estendere questi controlli. La 7.0 introduce i siti, che raggruppano reti ed esportatori per sede, un looking glass BGP con validazione RPKI, il single sign-on OpenID Connect, l’autenticazione a più fattori e le passkey.
La differenza rispetto a LibreNMS, un vicino della stessa categoria, sta nel punto di osservazione. LibreNMS interroga gli apparati via SNMP per seguirne disponibilità, carico delle interfacce e stato hardware, ma non sa cosa viaggia dentro i pacchetti. ntopng guarda invece al contenuto del traffico, a chi parla con chi e con quale applicazione, e tratta l’SNMP come un complemento riservato alle edizioni Enterprise. I due strumenti si completano più di quanto si facciano concorrenza.
L’offerta è articolata su quattro livelli. La Community, gratuita e open source, basta per una rete piccola: la documentazione suggerisce di restare sotto i 256 host locali attivi e le 8 interfacce monitorate. La Professional aggiunge report grafici, profili di traffico e autenticazione LDAP o OIDC. La Enterprise M porta l’SNMP, la gestione avanzata degli avvisi e nAnalyst, lo strato di analisi assistita dall’IA introdotto con la 7.0. La Enterprise L aggiunge l’esportazione rapida verso ClickHouse, l’esploratore dei dati storici e la correlazione tra utenti e traffico, mentre i livelli da XL a XXXL alzano i tetti di capacità.
Per chi è?
ntopng si rivolge agli amministratori di sistema e di rete di PMI, scuole, hosting provider e piccoli operatori che vogliono sapere con precisione cosa consuma la banda e individuare una macchina che si comporta in modo anomalo. Va bene anche per gli analisti di sicurezza che vogliono una vista continua del traffico senza installare un sistema completo di rilevamento delle intrusioni, e per gli appassionati che osservano la rete di casa su un Raspberry Pi.
I limiti esistono. La cattura continua su un collegamento carico richiede processore e memoria dimensionati, e la scrittura delle serie temporali finisce per riempire un disco piccolo, cosa che l’azienda stessa segnala per i firewall pfSense e OPNsense. Le funzioni più utili alle grandi organizzazioni sono a pagamento, e diverse non sono disponibili su Windows. Per il monitoraggio classico degli apparati via SNMP resta più adatto LibreNMS, e per ispezionare i pacchetti uno per uno il riferimento rimane Wireshark.
Scaricare ntopng in sicurezza
Tutti i pacchetti ufficiali sono pubblicati su packages.ntop.org. Per Linux, ntop mantiene repository stabili per Ubuntu 22.04 e 24.04, Debian da 11 a 13, Rocky e AlmaLinux da 8 a 10, oltre a pacchetti per Raspberry Pi OS, e consiglia Ubuntu Server LTS o Rocky Linux per la produzione. Per i Mac con chip Apple Silicon c’è un pacchetto non firmato, per cui va rimosso l’attributo di quarantena prima dell’installazione, e Redis deve essere installato in anticipo con Homebrew. Su Windows viene distribuita soltanto una build di sviluppo, in archivio zip, e occorre installare Npcap prima di avviare l’installer. Immagini Docker ufficiali si trovano su Docker Hub, e pacchetti di sviluppo coprono FreeBSD, OPNsense e pfSense.
L’edizione Community si scarica e funziona senza licenza né registrazione. Le edizioni Pro ed Enterprise si acquistano su shop.ntop.org come licenze perpetue per server, con un anno di aggiornamenti incluso e una chiave legata all’identificativo di sistema della macchina. I prezzi non compaiono nella documentazione e dipendono dall’edizione. Qualsiasi offerta di una versione Pro gratuita o di una chiave condivisa su un forum terzo va scartata, così come i pacchetti che non provengano dal repository di ntop o da quello della vostra distribuzione.
Domande frequenti
ntopng è gratuito?
L’edizione Community lo è, con licenza GPL v3, e dalla versione 7.0 si avvia automaticamente quando non c’è una licenza. Le edizioni Professional ed Enterprise sono a pagamento, con licenza perpetua che include un anno di aggiornamenti. Il codice sorgente della Community è su GitHub.
In cosa differisce da LibreNMS?
LibreNMS controlla gli apparati via SNMP e riferisce sul loro stato e sul carico delle porte. ntopng analizza il traffico in sé, riconosce le applicazioni e segnala comportamenti anomali. Molti team li usano insieme.
Serve un server dedicato?
Non per una rete piccola: un Raspberry Pi o una macchina virtuale modesta reggono qualche decina di host. Per un collegamento carico o una lunga conservazione dei dati servono più core, memoria e soprattutto spazio disco per le serie temporali.
