در این مطلب مفهوم Flow ، نسخه‌های NetFlow و IPFIX ، کانفیگ مدرن Flexible NetFlow روی روتر و Catalyst 9000 ، نرم‌افزارهای Collector و نکته‌های عملی را بر پایه راهنمای رسمی Flexible NetFlow در Catalyst 9300 مرور می‌کنیم.

Flow چیست

NetFlow بسته‌ها را یکی‌یکی ثبت نمی‌کند؛ بسته‌هایی را که کلیدهای یکسان دارند یک جریان حساب می‌کند. در NetFlow کلاسیک این هفت کلید جریان را تعریف می‌کنند:

برای هر جریان، دستگاه تعداد بسته، تعداد بایت، زمان شروع و پایان و اطلاعات دیگر را نگه می‌دارد و وقتی جریان تمام شد یا زمانش سر رسید، رکورد را به Collector می‌فرستد.

NetFlow ، IPFIX و Flexible NetFlow

NetFlow را سیسکو ساخت، اما نسخه ۹ آن پایه استاندارد IETF به نام IPFIX (RFC 7011) شد؛ امروز تقریباً همه سازنده‌ها و Collectorها از آن پشتیبانی می‌کنند. پس دیگر نمی‌توان NetFlow را صرفاً «پروتکل اختصاصی سیسکو» دانست.

Flexible NetFlow (FNF) روش پیکربندی مدرن است: به‌جای هفت کلید ثابت، خودتان تعیین می‌کنید کدام فیلدها کلید باشند و کدام فقط جمع‌آوری شوند. سه جزء دارد:

• Flow Record : چه فیلدهایی کلید (match) و چه فیلدهایی جمع‌آوری (collect) شوند.
• Flow Exporter : Collector کجاست، با چه نسخه و روی کدام پورت.
• Flow Monitor : Record و Exporter را به هم وصل می‌کند و روی اینترفیس اعمال می‌شود.

کانفیگ Flexible NetFlow

! ---------- 1) Record ----------
flow record FNF-REC
 match ipv4 source address
 match ipv4 destination address
 match ipv4 protocol
 match transport source-port
 match transport destination-port
 match ipv4 tos
 match interface input
 collect interface output
 collect counter bytes long
 collect counter packets long
 collect timestamp absolute first
 collect timestamp absolute last
!
! ---------- 2) Exporter ----------
flow exporter FNF-EXP
 destination 10.10.99.30
 source Loopback0
 transport udp 2055
 export-protocol ipfix
!
! ---------- 3) Monitor ----------
flow monitor FNF-MON
 record FNF-REC
 exporter FNF-EXP
 cache timeout active 60
 cache timeout inactive 15
!
! ---------- 4) Apply ----------
interface GigabitEthernet0/0/0
 description WAN
 ip flow monitor FNF-MON input
 ip flow monitor FNF-MON output

cache timeout active 60 باعث می‌شود جریان‌های طولانی (مثل دانلود یا تماس ویدئویی) هر ۶۰ ثانیه گزارش شوند و نمودار Collector واقعی باشد. پورت 2055 رایج است، اما پورت را با تنظیم Collector یکی کنید.

نکته‌های Catalyst 9000

• طبق راهنمای رسمی، Flexible NetFlow روی Port-Channel لایه ۲ پشتیبانی نمی‌شود اما روی پورت‌های عضو آن پشتیبانی می‌شود.
• روی Port-Channel لایه ۳ هم روی خود Port-Channel و هم روی اعضا ممکن است، اما نه هر دو هم‌زمان برای یک نوع ترافیک و جهت.
• ظرفیت جدول جریان محدود است؛ مثلاً روی Catalyst 9200 حدود ۱۶ هزار جریان روی مدل‌های گیگابیتی. جزئیات را در سوئیچ سیسکو سری ۹۲۰۰ ببینید.
• روی بعضی پلتفرم‌ها، دستور اعمال روی اینترفیس لایه ۲ به شکل datalink flow monitor است.

Collector و تحلیل

داده‌های NetFlow بدون نرم‌افزار Collector ارزشی ندارند. گزینه‌های رایج:

کاربردهای عملی

• پیدا کردن مصرف‌کننده پهنای باند: پر شدن ناگهانی لینک به‌خاطر یک بک‌آپ یا یک کلاینت.
• کشف حمله: DDoS ، اسکن پورت (یک مبدأ به هزاران مقصد) یا ارتباط بدافزار با سرور فرمان.
• نشت اطلاعات: حجم غیرعادی آپلود از یک سرور داخلی به مقصد ناشناس.
• برنامه‌ریزی ظرفیت و QoS : سهم واقعی هر برنامه از لینک پیش از خرید پهنای باند یا طراحی QoS ؛ مطلب کنترل ترافیک و محدودیت پهنای باند را ببینید.

بررسی

R1# show flow monitor FNF-MON cache
R1# show flow monitor FNF-MON statistics
R1# show flow exporter FNF-EXP statistics
R1# show flow interface GigabitEthernet0/0/0

اگر در show flow exporter statistics بسته‌های ارسالی زیاد می‌شود ولی Collector چیزی نشان نمی‌دهد، مسیر UDP تا Collector ، فایروال میانی یا پورت تنظیم‌شده را بررسی کنید.

پرسش‌های متداول

NetFlow روی CPU بار دارد؟
روی سوئیچ‌های Catalyst 9000 و روترهای IOS XE جمع‌آوری در سخت‌افزار انجام می‌شود و بار کمی دارد. روی روترهای قدیمی با ترافیک زیاد، Sampled NetFlow را در نظر بگیرید.

ip flow ingress قدیمی هنوز کار می‌کند؟
روی بعضی پلتفرم‌های قدیمی IOS بله، اما روش پشتیبانی‌شده و آینده‌دار Flexible NetFlow است.

برای IPv6 چه کنم؟
یک Record با فیلدهای match ipv6 … بسازید و با ipv6 flow monitor روی اینترفیس اعمال کنید.

منابع رسمی

• Network Management Configuration Guide, IOS XE 17.13 (Catalyst 9300) – Configuring Flexible NetFlow
• RFC 7011 – IP Flow Information Export (IPFIX) Protocol

مشاوره با AKA NET

برای راه‌اندازی NetFlow ، انتخاب و نصب Collector و تحلیل ترافیک شبکه با آکانت (AKA NET) تماس بگیرید.