Как настроить гибкий мониторинг трафика с помощью Flexible NetFlow на маршрутизаторе Cisco

Рассмотрим, как настроить технологию Flexible NetFlow, которая позволяет обеспечивает глубокий и широкий охват при анализе неизвестных устройств, необычных шаблонов трафика и неожиданного поведения.

Содержание:

1. Топология
2. Сценарий
3. Задачи
   1. Настройки маршрутизатора после выполнения Части 1
   2. Настройки Edge после выполнения Части 2
4. Выводы

Топология

Исследуемая топология состоит из одного маршрутизатора Cisco 2911 с ПО Cisco IOS версии 15. Допускается использование других маршрутизаторов и версий Cisco IOS.

Схема топологии следующая:

Сценарий

Flexible NetFlow — это гибкий инструмент мониторинга трафика для задач оптимизации использования ресурсов, планирования производительности сети, определения оптимального уровня обеспечения качества обслуживания (QoS), а также для обнаружения событий сетевой безопасности.

Преимущества Cisco IOS Flexible NetFlow:

• Гибкость и масштабируемость данных о потоках по сравнению с традиционным NetFlow;
• Тонкие настройки идентификации трафика;
• Возможность сосредоточиться и контролировать конкретное сетевое поведение;
• Возможность отслеживать более широкий спектр информации о пакетах, создавая новую информацию о поведении сети;
• Улучшенное обнаружение сетевых аномалий и безопасности;
• Объединение нескольких технологий учета в один учетный механизм.

Компоненты Flexible NetFlow:

• Запись потока (Flow record) — потоки определяются множеством различных фрагментов информации о трафике; информация, используемая Flexible Netflow, может быть определена в пользовательских или стандартных записях.
• Экспортер потока (Flow exporter) —  сервер(-ы), на который/которые будет экспортироваться информация о потоках.
• Монитор потока (Flow monitor) — компонент, который используется для обеспечения фактического мониторинга трафика на настроенном интерфейсе. Когда монитор потока применяется к интерфейсу, создается кэш монитора потока, который используется для сбора трафика на основе ключевых (key) и неключевых (nonkey) полей в настроенной записи.
• Шаблон потока (Flow Sampler) используется, когда имеется большой объем трафика для анализа, который потенциально может повлиять на производительность контролируемого устройства. В этой ситуации можно использовать шаблон потока, чтобы ограничить количество пакетов, которые будут анализироваться монитором потока. Например, 1 из каждых 2 пакетов может быть захвачен и проанализирован.

Задачи

1. Построение сети и проверка подключения.
2. Настройка и проверка Flexible NetFlow на маршрутизаторе Cisco.

Настройки маршрутизатора после выполнения Части 1

hostname Edge
no ip domain-lookup
line con 0
exec-timeout 0 0
logging synchronous

interface gigabitEthernet 0/0
ip address 192.168.1.1 255.255.255.0
no shutdown
exit

interface gigabitEthernet 0/1
ip address dhcp
no shutdown
exit

Настроим NAT:

ip nat inside source list 1 interface GigabitEthernet0/1 overload
access-list 1 permit 192.168.1.0 0.0.0.255
interface gigabitEthernet 0/0
ip nat inside
exit
interface gigabitEthernet 0/1
ip nat outside
exit

Настройки Edge после выполнения Части 2

1. Создадим 2 вида записей потока: стандартный (ipv4 original-input) и пользовательский.

Для создания пользовательской записи необходимо выполнить настройки:

flow record CUSTOM-OUT
description Custom Flow Record for outbound traffic
match ipv4 destination address
match transport destination-port
collect counter bytes
collect counter packets
exit

Проверяем настройки:

show flow record CUSTOM-OUT

2. Создадим экспортер потока:

flow exporter COLLECTOR-HOST
destination 192.168.1.3
export-protocol netflow-v9
transport UDP 2055
exit

Проверяем:

show flow exporter COLLECTOR-HOST

3. Создадим монитор потока:

Для стандартной записи потока:

flow monitor INBOUND-MONITOR
record netflow ipv4 original-input
cache timeout active 30
exporter COLLECTOR-HOST
exit

Для пользовательской записи потока:

flow monitor OUTBOUND-MONITOR
record CUSTOM-OUT
cache timeout active 30
exporter COLLECTOR-HOST
exit

Проверяем настройки:

show flow monitor

4. Настроим интерфейс для сбора статистики по потокам:

interface g0/0
ip flow monitor INBOUND-MONITOR input
ip flow monitor OUTBOUND-MONITOR output
exit

Сгенерируем трафик на клиенском ПК и проверим результат работы Flexible NetFlow:

show flow monitor INBOUND-MONITOR statistics
show flow monitor OUTBOUND-MONITOR statistics
show flow monitor INBOUND-MONITOR cache
show flow monitor OUTBOUND-MONITOR cache

Команды проверки работы Flexible NetFlow на маршрутизаторе:

show flow record CUSTOM-OUT
show flow exporter COLLECTOR-HOST
show flow monitor
show flow monitor INBOUND-MONITOR statistics
show flow monitor OUTBOUND-MONITOR statistics
show flow monitor INBOUND-MONITOR cache
show flow monitor OUTBOUND-MONITOR cache

Выводы

Спасибо за уделенное время на прочтение статьи. Теперь вы знаете о том, как настроить мониторинг трафика с помощью Flexible NetFlow на маршрутизаторе на Cisco!

Если возникли вопросы, задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco, курсы по кибербезопасности, полный курс по кибербезопасности, курсы DevNet / DevOps (программируемые системы) от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University (Университет СЭДИКОММ).