Мониторинг трафика с помощью NetFlow

NetFlow – технология и сетевой протокол для снятия сетевой статистики с сетевых интерфейсов маршрутизаторов. NetFlow разработан Cisco и является де-факто промышленным стандартом, поддерживаемым сетевым оборудованием Cisco, Juniper и Unix-подобными системами.

Архитектура NetFlow предполагает три роли, которые выполняются устройствами:

• сенсор / экспортер
• коллектор
• анализатор

Сенсор – это маршрутизатор, который собирает статистику по проходящему через него трафику и отправляет коллектору по протоколу NetFlow. В задачи коллектора входит хранение полученных данных и предоставление их анализатору. Анализатор анализирует собранные коллектором данные и формирует пригодные для чтения человеком отчёты (часто в виде графиков). NPS AV может одновременно выполняет роль всех трех компонентов архитектуры NetFlow. В частности, в NPS AV используется анализатор Insight. Также поддерживается экспорт данных о потоках во внешние коллекторы.

Центральное понятие NetFlow – это поток, что отображено в названии технологии. Потоком считается набор пакетов, проходящих в одном направлении и характеризуемых рядом параметров (IP-адрес источника, IP-адрес назначения, порт источника, порт назначения, номер протокола, сетевой интерфейс и т.п.).

Когда сенсор определяет, что поток закончился, он отправляет информацию о потоке в коллектор. В зависимости от настроек он также может периодически отправлять в коллектор информацию о все еще идущих потоках.

Во FreeBSD, NetFlow реализован в виде модуля ядра ng_netflow (Netgraph) и по этой причине отличается быстрой работой с минимальными затратами (по сравнению с решениями вроде softflowd или pfflowd.).

На базе NetFlow в NPS AV реализован ряд отчетов:

• Отчет по сетевой статистике
• Отчет по наиболее популярным сетевым службам
• Отчет по наиболее популярным IP-адресам назначения