NETFLOW

Herramientas de anlisis de trfico

Humberto Rodr
Rodrguez Jorge

Agenda
Introduccin
Caractersticas esenciales de Netflow
Hardware y Configuracin
Herramientas de Anlisis de Trfico
Conclusiones

Introduccin
El rpido crecimiento de las redes IP a creado un inters en
los nuevos servicios y aplicaciones que requieren de alto
rendimiento y necesitan una calidad de servicio elevada
Para garantizar estos requerimientos surgen tecnologas de
medicin que brindan de forma eficiente informacin de la
utilizacin de los recursos y aplicaciones en la RED
La tecnologa Netflow de CISCO provee una solucin
para estas necesidades

Agenda
Caractersticas esenciales de Netflow
Qu es Netflow ?
Orgenes
Qu es un flujo (flow) ?
Principales Beneficios de Netflow
Cach de Netflow
Cach de Acumulacin de Netflow
Exportacin de Datos
Versiones de Exportacin Netflow
El MIB de Netflow

Caractersticas esenciales de Netflow

Qu es Netflow ?
Netflow es un protocolo desarrollado por CISCO Systems
para coleccionar informacin del trfico de red
Habilita a los dispositivos ya sean routers o switches que
lo soporten a generar records, que pueden ser enviados a un
colector a travs de una red
Responde las preguntas quin, qu, dnde y cmo
basado en el trfico IP
Provee una visin detallada del comportamiento de la
RED (monitoreo de aplicaciones que utilizan puertos
dinmicos)

Caractersticas esenciales de Netflow

Orgenes
Es una tecnologa que fue desarrollada y patentada por
CISCO IOS en 1996
Es ahora la principal tecnologa de monitoreo de trfico
en la red

Caractersticas esenciales de Netflow

Qu es un flujo (flow) ?
Es una cadena unidireccional de paquetes entre una determinada fuente y
un destino, ambos definidos por una direccin IP de la capa de red y
tambin por nmeros de puertos origen y destino en la capa de transporte.
Un flujo est definido por los siguientes campos:
Direccin IP Origen
Direccin IP Destino
Puerto Origen
Puerto Destino
Tipo de Protocolo de capa 3
Byte de ToS

DATOS EXPORTADOS

Interfase lgica de entrada (Ifindex)

Un flujo tiene otros campos que dependen de la versin que se utiliza para
exportar. Cada uno es procesado en una cach.

Caractersticas esenciales de Netflow

Principales Beneficios de Netflow
Monitoreo de la Red: con tcnicas de anlisis de flujo
Monitoreo de Aplicaciones: para planificar, entender nuevos
servicios, y distribuir recursos y aplicaciones en la red
Monitoreo de Usuarios: para revisar de forma efectiva la
utilizacin de los recursos por parte de los usuarios
Planificacin de la Red: para anticiparse a los crecimientos de
la red, ya sea en dispositivos, puertos y ancho de banda

Caractersticas esenciales de Netflow

Principales Beneficios de Netflow
Anlisis de seguridad: con el fin de detectar anomalas en
el trfico de la red
Contabilidad y la Facturacin: debido a sus detalladas
estadsticas
Almacenamiento de los Datos Netflow: para futuros anlisis

Caractersticas esenciales de Netflow

Cach de Netflow
Netflow opera construyendo una cach que contiene
informacin de los flujos
La informacin de la cach es exportada a un servidor
colector de flujos, basada en perodos de tiempos
configurables
El desempeo eficiente de netflow depende de la
administracin inteligente de la cach, especialmente en
routers con bastante carga de trfico

Caractersticas esenciales de Netflow

Cach de Acumulacin de Netflow
Est dada por la caracterstica que tiene el IOS de CISCO de conformar
una Cach de acumulacin basada en 11 esquemas que permiten resumir los
datos exportados

Esquemas de Acumulacin:
AS Aggregation Scheme (brinda datos de flujos de AS-AS)
Destination-Prefix Aggregation Scheme (agrupa por destinos)
Protocol-Port Aggregation Scheme (agrupa por puertos)
Prefix Aggregation Scheme (agrupa por los prefijos)
Source Prefix Aggregation Scheme (agrupa por los orgenes)
Existen otros 6 esquemas basados en el ToS
Puede ser configurada con valores de timeout y tamao, adems de ser
exportada a un host especfico
Es exportada en las versiones 8 o 9 de Netflow

Caractersticas esenciales de Netflow

Exportacin de Datos
La exportacin de Datos Netflow permite que los flujos recogidos por
los equipos de conectividad sean recolectados y procesados
Peridicamente las estadsticas de trfico de todos lo flujos que caducan
son exportados desde el dispositivo que mantiene la cach (router o
switches) por UDP (tambin mediante SCTP)

Caractersticas esenciales de Netflow

Exportacin de Datos
Cundo Ocurre la Exportacin?
Las entradas de la cach de Netflow son enviadas a un dispositivo colector
(Ej. CNS Netflow Collection Engine) si ocurre una de las siguientes
condiciones:
El protocolo de transporte indica que se ha completado la conexin
(flag TCP FIN) o cuando aparece el flag de RST

La inactividad en el trfico excede los 15 segundos (es configurable)

Expiran los flujos que se mantienen activos por ms de 30 minutos,

mediante esto se asegura un reporte peridico (es configurable)

Se llena la cach

Caractersticas esenciales de Netflow

Exportacin de Datos
Paquete de exportacin UDP
Aproximadamente 1500
bytes
Tpicamente contienen de 20
a 50 records de flujo
Se envan de forma ms
frecuente si aumenta el trfico
en las interfases configuradas
con Netflow

Caractersticas esenciales de Netflow

Exportacin de Datos
Ejemplo de la Cach de Netflow y su Exportacin

Caractersticas esenciales de Netflow

Versiones de Exportacin Netflow
Versiones de
Netflow

Comentarios

Original

Estndar y mas comn

Especfico de las series de Switches C6500 y

7600 de Cisco

Opcin de los 11 esquemas de acumulacin

Versin flexible y extensible del formato de

exportacin que brinda soporte para campos
adicionales y tecnologas como por ejemplo
MPLS, Multicast, Prximo salto BGP e IPV6

Cada una de las versiones y sus posibilidades depende de la plataforma

del Hardware y de su software CISCO IOS

Caractersticas esenciales de Netflow

Versiones de Exportacin Netflow
Ejemplo del Datagrama de Exportacin de la versin 5

Caractersticas esenciales de Netflow

El MIB de Netflow
Constituye un mtodo fcil y simple de acceder a informacin de
Netflow:
Informacin de la cach y su configuracin
Informacin de la exportacin y su configuracin
Estadsticas de Exportacin
Estadsticas de Protocolos
Informacin sobre la plantillas de exportacin de la versin 9
Informacin de los flujos sobresalientes (tops flows, toptalkers)
Top flows provee un mecanismo para mostrar en tiempo real los flujos de la
cach que sobresalen. Solo necesitan ser configurados : el nmero de
sobresalientes (TopN) el orden (SortBy) y netflow.
De forma opcional se configuran: el timeout y los criterios de comparacin

Agenda
Hardware y Configuracin
Dispositivos que soportan Netflow
Hardware que soporta Netflow
Referencia de comandos
Rendimiento de Netflow

Hardware y Configuracin
Dispositivos que soportan Netflow
Entre los Dispositivos que soportan Netflow podemos
encontrar de CISCO:
Routers
Switches Catalyst
Existen otros vendedores de equipamientos que tambin lo
soportan
Alcatel
Enterasys
Foundry
Juniper

Hardware y Configuracin
Hardware que soporta Netflow de CISCO

Hardware y Configuracin
Referencia de comandos
(ip flow ingress (egress) para otras versiones)

Hardware y Configuracin
Referencia de comandos

Hardware y Configuracin
Referencia de comandos (Ej.)

Hardware y Configuracin
Referencia de comandos (Ej.)

Hardware y Configuracin
Rendimiento de Netflow

Aproximado de Utilizacin de CPU por nmeros de flujos activos

Nmeros de flujos activos
en la cach

Utilizacin de CPU
adicional

10000

< 4%

45000

< 12 %

65000

< 16 %

La Reduccin significativa de la Utilizacin del CPU con

Netflow se logra mediante:

Sampled Netflow

Optimizacin de los tiempos

Una arquitectura distribuida

Tener una exportacin doble no tiene un impacto relevante en la

utilizacin del CPU

Agenda
Herramientas de Anlisis de Trfico
Herramientas
Scrutinizer Netflow Analyzer 3.5.0
ManageEngine Netflow Analyzer 4

Herramientas de Anlisis de Trfico

Herramientas
Mediante ellas se puede obtener

Reportes personalizados

Estadsticas de los tops en cuanto a aplicaciones, hosts y

conversations

Estadsticas en tiempo real

Anlisis detallado de un Host

Alarmas

Se pueden identificar y clasificar anomalas en la red

Herramientas de Anlisis de Trfico

Herramientas
Scrutinizer Netflow Analyzer :
Plataformas: Windows
2000/XP/2003

ManageEngine Netflow Analyzer :

Plataformas: Windows 2000/XP,
Linux

CNS NetFlow Collection Engine :

Plataformas: Solaris HP-UX y
Red Hat Enterprise Linux

Herramientas de Anlisis de Trfico

Herramientas
Netflow Monitor
Plataformas: Linux,
Unix

Stager

Ntop
Plataformas:
Windows,
GNU/Linux, Unix

JNCA (Java
Netflow Collector
and Analyzer)
Pataformas:
JAVA

NFsen
Plataformas:
Linux, Unix
LINK: http://www.networkuptime.com/tools/netflow/

Plataformas:
Linux, Unix

FlowScan
Plataformas:
GNU/Linux,
Unix

Herramientas de Anlisis de Trfico

Scrutinizer Netflow Analyzer 3.5.0

Herramientas de Anlisis de Trfico

ManageEngine Netflow Analyzer 4

Conclusiones

Netflow es una herramienta de mucha

utilidad para:
Monitorear el trfico de la red
Realizar proyecciones
Detectar anomalas en la Red
Se adapta a los cambios de las nuevas
Aplicaciones y Servicios