NetFlow、Cisco、およびトラフィックの監視。 それを理解する時間です

すべての人に良い一日を！ NetFlowは非常にシンプルで便利で頻繁に使用されるプロトコルであり、NetFlowはそれほど単純ではなく、その運用には十分な落とし穴があることに気付きました。

カットの下で、NetFlowとCiscoの設定について最初に知っておく必要のあるすべてのものを収集し、eucariotに敬意を表しました。eucariotはネットワークに関する優れた記事を書いています。

基本的な概念を定義しましょう

NetFlowは、ネットワークトラフィックを監視するためにシスコが開発した独自のオープンプロトコルです。 Netflowは、すべてのTCP / IPトランザクションを記録することにより、セッションレベルのネットワークトラフィック分析を提供します。

システムのアーキテクチャは、センサー、コレクター、およびアナライザーに基づいています。

-センサーは、センサーを通過するトラフィックの統計を収集します。 たとえば、ネットワークセグメントの境界ルーターなど、ネットワークの「ノードポイント」にセンサーを設置することは理にかなっています。

-コレクターはセンサーから情報を収集します。 彼は、さらに処理するために、受信したデータをファイルにダンプします。 異なるコレクターは、さまざまな形式でデータを保存します。

-アナライザーまたは処理システムは、これらのファイルを読み取り、人間にとってより便利な形式でレポートを生成します。 このシステムは、コレクターが提供するデータ形式と互換性がある必要があります[1] 。 現代のシステムでは、コレクターとアナライザーはしばしば1つのシステムに結合されます。







通常、コレクターとアナライザーは、サーバーで実行される単一のソフトウェアパッケージの一部です。 WindowsおよびUnixシステム用のコレクター/アナライザーソフトウェアには、無料と有料の両方の種類があります。

この記事では、この分野については触れず、CiscoでのNetFlowの動作とセンサーのセットアップの原則のみを検討します。

コレクターとその背後のアナライザーがシステムの「パッシブ」要素であることをすぐに理解する必要があります。 センサーはトラフィックレポートをコレクターに送信し、コレクターが受信し、アナライザーが分析し、サーバー上のデータベースに書き込みます。 実際、サーバーを上げた状態で、監視対象のデバイスをサーバーに手動で接続する必要はありません。 センサーがレポートを送信している間、コレクターはレポートを受信し、アナライザーは登録します。 センサーがオフになっている場合、現在の「オンライン」統計から「消えます」。

プロトコルの説明

NetFlowはUDPまたはSCTPを使用して、トラフィックデータをコレクタに送信します。 原則として、コレクターはポート2055、9555、または9995（またはコレクターとセンサーの構成時に指定したポート）でリッスンします。

センサーは、次のパラメーターによって特徴付けられる通過トラフィックからフローを抽出します。

• 送信元アドレス
• 宛先住所
• UDPおよびTCPの送信元ポート。
• UDPおよびTCPの宛先ポート。
• ICMPのメッセージタイプとコード。
• IPプロトコル番号。
• ネットワークインターフェイス（ifindex SNMPパラメーター）;
• IPタイプオブサービス。

ストリームは、一方向に通過するパケットのセットです。 センサーは、（パケットのパラメーターを変更するか、TCPセッションをリセットすることにより）ストリームが終了したと判断すると、コレクターに情報を送信します。 設定によっては、まだ実行中のフローに関する情報をコレクターに定期的に送信することもできます[2] 。

これは非常に重要なポイントです-センサーを設定するとき、コレクターに送信される情報がレポートで結合されるパラメーターに応じて、自分で決定します。

実際には、設定

シスコで設定するときにセンサー設定を分析しましょう：

Router_nf＃conf t

Router_NF（config）＃ip flow-export destination 192.168.0.1 9996

Router_NF（config）＃ip flow-export destination 10.10.0.1 9996

Router_NF（config）＃ip flow-exportバージョン9

構成モードで、統計の送信先のコレクターアドレスとポートを指定し、NetFlowプロトコルのバージョンを示します。 複雑なネットワークでは、セグメント間にルーティングの制限がある場合、2つのコレクタインターフェイスを使用できます

Router_NF（config）＃ip flow-cache timeout active 1

まだアクティブなセッションのトラフィックデータでNetFlowキャッシュを更新する頻度を指定する

Router_NF（config）＃ip flow-cache timeout inactive 15

データが既存のストリームで転送されない場合、データが閉じられ、その情報がキャッシュに書き込まれ、コレクターに転送される時間を示します

Router_NF（config）＃ip flow-export source FastEthernet 0/0

Router_NF（config）＃ip flow-export source vlan4

Router_NF（config）＃ip flow-export source Port-channel1.2

トラフィックレポートのソース、統計はそれらから収集されます。 アナライザー側では、インターフェース、VLAN、およびポートチャネルが個別に監視されます

！

ip access-list standard iacl-snmp

デバイスへのSNMPアクセス用のACLを注釈する

192.168.0.1を許可

10.10.0.1を許可

ログを拒否

！

より調和のとれた風水のためにACLを追加します

！

snmp-serverグループsnmp v1アクセスiacl-snmp

snmp-serverグループsnmp v2cアクセスiacl-snmp

snmp-serverコミュニティ******** **** iacl-snmp

snmp-server ifindexが持続する

snmp-server trap-source Loopback0

snmp-server enable traps tty

！

適切なインターフェース名認識のためのsnmpの構成

最後にインターフェイスに来ました：

Router_NF（config）＃interface FastEthernet 0/0

Router_NF（config-if）＃IPフロー出力

Router_NF（config-if）＃ip flow ingress

インターフェイスに出入りするトラフィックを指定しますか？ 発信の場合、IPフローの出口、着信の場合、IPフローの入口

または

Router_NF（config-if）＃ip route-cache flow

「ip route-cache flow」はメインインターフェイスにのみ使用でき、「ip flow ingress」はサブインターフェイス用の拡張機能です。 NetFlowサブインターフェイスサポートの機能を使用すると、サブインターフェイスごとにNetFlowを有効にできます。 ネットワークに多数のサブインターフェイスが含まれ、少数のレコードのみからレコードを収集する必要があるシナリオでは、特定のサブインターフェイスからのみ情報の収集を微調整できます [3]

センサーで見ることができるもの：

Router_NF＃show ip cache flow

交通情報保留コレクター

Router_NF＃IPキャッシュ詳細フローを表示

コレクターへの送信を待機している詳細な交通情報

Router_NF＃show ip flow interface

NetFlowセンサーインターフェイス

Router_NF＃show ip flow export

送信元および宛先NetFlowレポート、送信されたデータグラム数、エラー数

Router_NF＃show ip flow top-talkers

チャンピオンに関する情報は、最も訪問されたインターネットリソースまで、カテゴリ別に表示されます

メイン設定では、より完全な啓発[4] 、 [5] 、および[6]に役立つすべてのリンク。

軟膏で飛ぶ

「その他」のトラフィック。 ご存知のように、多くの一般的なアプリケーションには独自のポートがあります。



[7]から取った図。

ただし、時間の経過とともに、「その他」セクションに分類されるトラフィックの割合は、動的にランダムに生成されたポートを使用するアプリケーションの数の増加により増加します。

NetFlowをレビューしているドキュメント[8]は、図によく示されている問題についてさりげなく言及しています。





もちろん、次のように、レポートで最も異なるトラフィックを明確に説明したいと思います。



それへのリンク[10] 。



NBARテクノロジーを使用するなど、認識できないトラフィックはさまざまな興味深い方法で解決できます。

検索中に、ディスカッション[11]と興味深いプレゼンテーション[12]が見つかりました 。 彼は若くて、熱心で経験の浅いので、私はこれ以上荒野に行きません。

投稿の著者は頭に混乱があり、何かを見逃しているという意見があります！