Как настроить мониторинг трафика с помощью NetFlow на маршрутизаторе Cisco

Рассмотрим, как настроить протокол NetFlow, который предназначен для мониторинга трафика, на маршрутизаторе Cisco.

Содержание:

1. Топология
2. Сценарий
3. Задачи
   1. Настройки маршрутизатора после выполнения Части 1
   2. Настройки Edge после выполнения Части 2
   3. Отчеты NetFlow-сервера после выполнения Части 3
4. Выводы

Топология

Исследуемая топология состоит из одного маршрутизатора Cisco 2911 с ПО Cisco IOS версии 15. Допускается использование других маршрутизаторов и версий Cisco IOS.

Схема топологии следующая:

Сценарий

Протоколы управления сетью, такие как SNMP, позволяют контролировать сеть. С помощью этих инструментов можно мониторить многие процессы, например, загрузка процессора, использование памяти, состояние интерфейса и даже загрузка интерфейса.

NetFlow позволяет нам отслеживать потоки (flow) трафика в сети. Мы можем использовать эту информацию для решения таких проблем, как обнаружение узких мест, определения того, какие приложения используются, какую пропускную способность они используют и т. д.

Поток в терминологии NetFlow — это поток пакетов, которые имеют одинаковые характеристики:

•  IP-адрес источника;
• IP-адрес назначения;
• Порт источника для UDP и TCP;
• Порт назначения для UDP и TCP;
• Тип и код сообщения для ICMP;
• Номер интернет-протокола транспортного уровня, инкапсулированного в протокол IP;
• Сетевой интерфейс (параметр ifindex SNMP);
• Тип обслуживания (Type of Service, ToS).

Для каждого из потоков NetFlow будет отслеживать количество отправленных пакетов, отправленных байтов, размеры пакетов и многое другое. Можно настроить маршрутизатор для отслеживания всех потоков, а затем экспортировать их на центральный сервер, где можно анализировать полученный трафик. NetFlow состоит из нескольких компонентов:

• Сенсор собирает статистику по проходящему через него трафику. Сенсоры имеет смысл настраивать в узких местах сети, где проходит интересуемый трафик, например, на граничных маршрутизаторах сегментов сети.
• Коллектор осуществляет сбор информации от сенсоров. Полученные данные он сбрасывает в файл для дальнейшей обработки. Различные коллекторы сохраняют данные в различных форматах.
• Анализатор или система обработки, считывает эти файлы и генерирует отчеты в форме, более удобной для человека. Эта система должна быть совместима с форматом данных, предоставляемых коллектором. В современных системах коллектор и анализатор часто объединены в одну систему.

В этой статье будет показана настройка NetFlow на маршрутизаторе Cisco IOS, и рассмотрен сервер NetFlow.

Задачи

1. Построение сети и проверка подключения.
2. Настройка и проверка NetFlow для мониторинга трафика на маршрутизаторе Cisco.
3. Настройка анализатора и коллектора Netflow.

Настройки маршрутизатора после выполнения Части 1

hostname Edge
no ip domain-lookup
line con 0
exec-timeout 0 0
logging synchronous

interface gigabitEthernet 0/0
ip address 192.168.1.1 255.255.255.0
no shutdown
exit

interface gigabitEthernet 0/1
ip address dhcp
no shutdown
exit

Настроим NAT:

ip nat inside source list 1 interface GigabitEthernet0/1 overload
access-list 1 permit 192.168.1.0 0.0.0.255
interface gigabitEthernet 0/0
ip nat inside
exit
interface gigabitEthernet 0/1
ip nat outside
exit

Настройки Edge после выполнения Части 2

ip flow-export version 9
ip flow-export destination 192.168.1.3 2055
ip flow-export source GigabitEthernet0/0
ip flow-top-talkers
top 5
sort-by bytes
exit
interface gigabitEthernet 0/0
ip flow ingress
exit

Команды проверки работы NetFlow на маршрутизаторе:

show ip flow export
how ip cache flow
show ip cache verbose flow
show ip flow interface
show ip flow export
show ip flow top-talkers

Отчеты NetFlow-сервера после выполнения Части 3

На NetFlow-сервере можно в первую очередь запустить Wireshark, чтобы убедиться, что трафик попадает на сервер.

Существует большое количество коллекторов и анализаторов NetFlow, чаще всего эти функции объединены в одной программе. Наиболее распространенные решения: Solarwinds NetFlow Traffic Analyzer, PRTG Network Monitor, Scrutinizer, ManageEngine NetFlow Analyzer, nProbe and ntopng, NFDUMP, EHNT и другие. В основном указанные программы являются платными, но имеют 30-дневную пробную версию. При написании данной статьи использовалась программа PRTG Network Monitor. Ниже приведено несколько скриншотов работы этой программы с учетом того, что в захватываемых потоках присутствовал WWW-трафик и служебные трафики.

Выводы

Спасибо за уделенное время на прочтение статьи. Теперь вы знаете о том, как настроить мониторинг трафика с помощью NetFlow на маршрутизаторе на Cisco!

Если возникли вопросы, задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco, курсы по кибербезопасности, полный курс по кибербезопасности, курсы DevNet / DevOps (программируемые системы) от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University (Университет СЭДИКОММ).