ntopng est une sonde d’analyse de trafic réseau qui s’utilise entièrement depuis un navigateur. Il est développé par ntop, une petite société d’ingénierie européenne issue du projet libre ntop lancé en 1998, et son édition Community est publiée sous licence GPL v3. Le suffixe ng signifie next generation : à la sortie de la première version, en juin 2013, l’éditeur expliquait avoir réécrit de zéro l’outil original après quinze ans d’existence.
La version 7.0, publiée le 22 septembre 2026 d’après le dépôt GitHub du projet, a remplacé une grande partie de l’interface par un frontal Vue.js et ajouté des fonctions qui dépassent la simple supervision, de l’intégration avec Wazuh à la visualisation de données de routage BGP.
À quoi sert ntopng
Le principe est d’observer le trafic lui-même plutôt que de se contenter des compteurs d’un équipement. ntopng capture les paquets qui passent sur une ou plusieurs interfaces, ou reçoit des flux sFlow, NetFlow et IPFIX exportés par des routeurs via la sonde nProbe du même éditeur, puis reconstitue les conversations entre machines. La bibliothèque nDPI, elle aussi développée par ntop, identifie l’application derrière chaque flux, YouTube, un VPN, un transfert SMB ou une requête DNS, même quand le numéro de port ne dit rien. Le tout est stocké dans Redis, qui doit tourner sur la même machine, et dans des séries temporelles RRD, InfluxDB ou ClickHouse.
L’interface Web, servie en HTTPS sur le port 3001 par défaut, présente les hôtes les plus actifs, les protocoles dominants, les flux en cours, une carte géographique des communications et surtout des alertes : seuils dépassés, comportements suspects, échanges avec des adresses figurant sur des listes noires. Des scripts Lua permettent d’étendre ces vérifications. La version 7.0 ajoute la notion de sites pour regrouper réseaux et exportateurs par emplacement, un looking glass BGP avec validation RPKI, l’authentification unique OpenID Connect, le MFA et les passkeys.
La différence avec LibreNMS, un voisin de la même catégorie, tient à l’angle d’observation. LibreNMS interroge les équipements par SNMP pour surveiller leur disponibilité, la charge de leurs interfaces et leur état matériel, mais il ignore ce qui circule dans les paquets. ntopng, à l’inverse, s’intéresse au contenu du trafic, à qui parle à qui et avec quelle application, et ne gère le SNMP qu’en complément, dans les éditions Enterprise. Les deux outils se complètent plus qu’ils ne se concurrencent.
L’éditeur propose quatre niveaux. La Community, gratuite et open source, suffit pour un petit réseau : la documentation suggère de ne pas dépasser 256 hôtes locaux actifs et 8 interfaces surveillées. L’édition Professional ajoute les rapports graphiques, les profils de trafic et l’authentification LDAP ou OIDC. Enterprise M apporte le SNMP, la gestion avancée des alertes et nAnalyst, la couche d’analyse assistée par IA introduite en 7.0. Enterprise L ajoute l’export rapide vers ClickHouse, l’explorateur de données historiques et la corrélation entre utilisateurs et trafic, et des paliers XL à XXXL relèvent les plafonds de capacité.
Pour qui ?
ntopng vise les administrateurs systèmes et réseau de PME, d’établissements d’enseignement, d’hébergeurs ou de petits opérateurs qui veulent savoir concrètement ce qui consomme la bande passante et repérer un poste qui se comporte anormalement. Il convient aussi aux analystes sécurité qui veulent une vue continue du trafic sans déployer une sonde de détection d’intrusion complète, et aux curieux qui observent leur réseau domestique sur un Raspberry Pi.
Les limites sont réelles. La capture en continu sur un lien chargé demande un processeur et une mémoire dimensionnés, et l’écriture des séries temporelles finit par remplir un petit disque, ce que l’éditeur signale lui-même pour les pare-feu pfSense et OPNsense. Les fonctions les plus utiles aux grandes organisations sont payantes, et plusieurs d’entre elles ne sont pas disponibles sous Windows. Pour une supervision classique d’équipements par SNMP, LibreNMS reste plus adapté, et pour inspecter des paquets un par un, Wireshark demeure la référence.
Télécharger ntopng sans risque
Les paquets officiels sont tous publiés sur packages.ntop.org. Pour Linux, l’éditeur fournit des dépôts stables pour Ubuntu 22.04 et 24.04, Debian 11 à 13, Rocky et AlmaLinux 8 à 10, ainsi que des paquets pour Raspberry Pi OS, et conseille Ubuntu Server LTS ou Rocky Linux pour la production. Un paquet pour Mac Apple Silicon est proposé, non signé, ce qui oblige à retirer l’attribut de quarantaine avant installation, et Redis doit être installé au préalable via Homebrew. Sous Windows, seule une version de développement est distribuée en archive zip, et il faut installer Npcap avant de lancer l’installateur. Des images Docker officielles existent sur Docker Hub, et des paquets de développement couvrent FreeBSD, OPNsense et pfSense.
L’édition Community se télécharge et fonctionne sans licence ni inscription. Les éditions Pro et Enterprise s’achètent sur shop.ntop.org sous forme de licence perpétuelle par serveur, qui donne droit à un an de mises à jour, et la clé est liée à l’identifiant système de la machine. Les tarifs ne figurent pas dans la documentation et dépendent de l’édition. Toute offre de version Pro gratuite ou de clé de licence partagée sur un forum tiers est à écarter, de même que les paquets qui ne proviendraient pas du dépôt de l’éditeur ou de celui de votre distribution.
Questions fréquentes
ntopng est-il gratuit ?
L’édition Community l’est, sous licence GPL v3, et elle démarre automatiquement sans licence depuis la version 7.0. Les éditions Professional et Enterprise sont payantes, avec une licence perpétuelle incluant un an de mises à jour. Le code source de la Community est sur GitHub.
Quelle différence avec LibreNMS ?
LibreNMS surveille des équipements par SNMP et renseigne sur leur état et la charge de leurs ports. ntopng analyse le trafic lui-même, reconnaît les applications et détecte des comportements anormaux. Beaucoup d’équipes font tourner les deux côte à côte.
Faut-il un serveur dédié ?
Pas forcément pour un petit réseau : un Raspberry Pi ou une machine virtuelle modeste suffit pour quelques dizaines d’hôtes. Pour un lien chargé ou un historique long, il faut prévoir plusieurs cœurs, de la mémoire et surtout de l’espace disque pour les séries temporelles.
