Gerando e capturando o Netflow em um roteador Linux

Question

Atualmente, temos um servidor Ubuntu dual-NIC em nosso data center atuando como roteador de gateway entre nossas redes públicas e nosso ISP. Temos uma rede de conexão cruzada / 30 na NIC voltada para ISP e um IP de cada uma das três redes conectadas à NIC voltada para o interior.

Eu gostaria de configurar a geração e a coleta de estatísticas de tráfego de rede nesse servidor, usando os protocolos Netflow da Cisco. Isso permitirá que eu confirme o faturamento de nosso provedor, bem como o fluxo de dados detalhados em nossa rede.

Quais ferramentas ou pacotes você recomendaria para capturar passivamente estatísticas de tráfego e registrá-las para processamento posterior? Pontos extras se o coletor Netflow tiver um conector de armazenamento de dados MySQL.

    

Answer 1

Para gerar uma ferramenta como nprobe ou fprobe funcionará bem, como outros já mencionaram.

Para colecionar eu gosto de nfdump / nfsen. Ele não usa o mysql, mas é muito fácil de trabalhar e obter dados em um formato legível por máquina.

Você provavelmente não quer os dados completos do netflow no mysql, em vez disso, geralmente faz mais sentido executar uma consulta de agregação e carregar o resumo no mysql. Ter 10.000.000 de registros no mysql não será divertido de se trabalhar, mas inserir um resumo diário ou por hora de (ip, total de fluxos, total de bytes, total de pacotes) funciona muito melhor.

    

Answer 2

Eu sei que o argus pode ler e processar dados do netflow e é muito bom em coletar e processar dados de fluxo de rede por si só.

Eu nunca usei isso para criar dados de fluxo de rede, como normalmente uso para coletar e processar os dados nativamente, ou usá-los para obter uma variedade de tipos de fluxo (tcpdump captures, netflows, etc) e usar argus para o agregação e sumarização e análise.

    

Answer 3

nprobe gerador de fluxo de rede

E eu pessoalmente uso ferramentas de fluxo para armazenar fluxos em disco, gerar relatórios.

Cumprimentos K

Editar: aqui são muito mais ferramentas para logar no mysql, gráficos, etc.

    

Answer 4

Eu sugiro que você olhe para argus, como diz Chris. Da minha experiência, é o melhor coletor de fluxo comportando-se. Mas há boas alternativas como flowd e pfflowd que pode funcionar para você também. Se você tiver alguma carga decente (terrabytes por dia), esqueça de armazenar seus fluxos em qualquer banco de dados SQL :) Ah, e sim, as ferramentas de fluxo são ótimas uma vez que você aprende toda a magia de filtragem e tal.

    

Answer 5

Eu recomendo verificar as ferramentas de Damien Miller Softflowd e flowd que são um exportador e coletor de NetFlow baseados em software, respectivamente.

A origem está disponível e inclui até alguns exemplos para armazenar dados em um banco de dados SQL (consulte flowinsert.pl no diretório de ferramentas).

Estas são ótimas ferramentas que foram feitas para tarefas específicas e podem ser personalizadas conforme necessário. Eu os recomendo como um bom lugar para começar a análise do Netflow.

    

Answer 6

Se você tiver grande quantidade de tráfego (aproximando-se ou acima de 1Gbit), eu recomendaria olhar para ipt-netflow (configurável e compatível com o NetFlow v6 / v9 / ipfix). Nprobe , recomendado antes, embora indicado como 'GPL' e 'Open Source' é comercial (como em 'buyable'). Outras soluções podem não lidar com altas taxas de pacotes.