NETFLOW

Herramientas de anlisis de trfico

Humberto Rodrguez Jorge Rodr

Agenda Introduccin Caractersticas esenciales de Netflow Hardware y Configuracin Herramientas de Anlisis de Trfico Conclusiones

Introduccin El rpido crecimiento de las redes IP a creado un inters en los nuevos servicios y aplicaciones que requieren de alto rendimiento y necesitan una calidad de servicio elevada Para garantizar estos requerimientos surgen tecnologas de medicin que brindan de forma eficiente informacin de la utilizacin de los recursos y aplicaciones en la RED La tecnologa Netflow de CISCO provee una solucin para estas necesidades

Agenda Caractersticas esenciales de Netflow Qu es Netflow ? Orgenes Qu es un flujo (flow) ? Principales Beneficios de Netflow Cach de Netflow Cach de Acumulacin de Netflow Exportacin de Datos Versiones de Exportacin Netflow El MIB de Netflow

Caractersticas esenciales de Netflow Qu es Netflow ? Netflow es un protocolo desarrollado por CISCO Systems para coleccionar informacin del trfico de red Habilita a los dispositivos ya sean routers o switches que lo soporten a generar records, que pueden ser enviados a un colector a travs de una red Responde las preguntas quin, qu, dnde y cmo basado en el trfico IP Provee una visin detallada del comportamiento de la RED (monitoreo de aplicaciones que utilizan puertos dinmicos)

Caractersticas esenciales de Netflow Orgenes Es una tecnologa que fue desarrollada y patentada por CISCO IOS en 1996 Es ahora la principal tecnologa de monitoreo de trfico en la red

Caractersticas esenciales de Netflow Qu es un flujo (flow) ?

Es una cadena unidireccional de paquetes entre una determinada fuente y un destino, ambos definidos por una direccin IP de la capa de red y tambin por nmeros de puertos origen y destino en la capa de transporte. Un flujo est definido por los siguientes campos: Direccin IP Origen Direccin IP Destino Puerto Origen Puerto Destino Tipo de Protocolo de capa 3 Byte de ToS Interfase lgica de entrada (Ifindex) Un flujo tiene otros campos que dependen de la versin que se utiliza para exportar. Cada uno es procesado en una cach.
DATOS EXPORTADOS

Caractersticas esenciales de Netflow Principales Beneficios de Netflow Monitoreo de la Red: con tcnicas de anlisis de flujo Monitoreo de Aplicaciones: para planificar, entender nuevos servicios, y distribuir recursos y aplicaciones en la red Monitoreo de Usuarios: para revisar de forma efectiva la utilizacin de los recursos por parte de los usuarios Planificacin de la Red: para anticiparse a los crecimientos de la red, ya sea en dispositivos, puertos y ancho de banda

Caractersticas esenciales de Netflow Principales Beneficios de Netflow Anlisis de seguridad: con el fin de detectar anomalas en el trfico de la red Contabilidad y la Facturacin: debido a sus detalladas estadsticas Almacenamiento de los Datos Netflow: para futuros anlisis

Caractersticas esenciales de Netflow Cach de Netflow Netflow opera construyendo una cach que contiene informacin de los flujos La informacin de la cach es exportada a un servidor colector de flujos, basada en perodos de tiempos configurables El desempeo eficiente de netflow depende de la administracin inteligente de la cach, especialmente en routers con bastante carga de trfico

Caractersticas esenciales de Netflow Cach de Acumulacin de Netflow

Est dada por la caracterstica que tiene el IOS de CISCO de conformar una Cach de acumulacin basada en 11 esquemas que permiten resumir los datos exportados

Esquemas de Acumulacin:
AS Aggregation Scheme (brinda datos de flujos de AS-AS) Destination-Prefix Aggregation Scheme (agrupa por destinos) Protocol-Port Aggregation Scheme (agrupa por puertos) Prefix Aggregation Scheme (agrupa por los prefijos) Source Prefix Aggregation Scheme (agrupa por los orgenes) Existen otros 6 esquemas basados en el ToS Puede ser configurada con valores de timeout y tamao, adems de ser exportada a un host especfico Es exportada en las versiones 8 o 9 de Netflow

Caractersticas esenciales de Netflow Exportacin de Datos

La exportacin de Datos Netflow permite que los flujos recogidos por los equipos de conectividad sean recolectados y procesados Peridicamente las estadsticas de trfico de todos lo flujos que caducan son exportados desde el dispositivo que mantiene la cach (router o switches) por UDP (tambin mediante SCTP)

Caractersticas esenciales de Netflow Exportacin de Datos

Cundo Ocurre la Exportacin?
Las entradas de la cach de Netflow son enviadas a un dispositivo colector (Ej. CNS Netflow Collection Engine) si ocurre una de las siguientes condiciones: El protocolo de transporte indica que se ha completado la conexin (flag TCP FIN) o cuando aparece el flag de RST

La inactividad en el trfico excede los 15 segundos (es configurable)

Expiran los flujos que se mantienen activos por ms de 30 minutos, mediante esto se asegura un reporte peridico (es configurable)

Se llena la cach

Caractersticas esenciales de Netflow Exportacin de Datos Paquete de exportacin UDP Aproximadamente 1500 bytes Tpicamente contienen de 20 a 50 records de flujo Se envan de forma ms frecuente si aumenta el trfico en las interfases configuradas con Netflow

Caractersticas esenciales de Netflow Exportacin de Datos Ejemplo de la Cach de Netflow y su Exportacin

Caractersticas esenciales de Netflow Versiones de Exportacin Netflow

Versiones de Netflow 1 5 7 8 9 Comentarios Original Estndar y mas comn Especfico de las series de Switches C6500 y 7600 de Cisco Opcin de los 11 esquemas de acumulacin Versin flexible y extensible del formato de exportacin que brinda soporte para campos adicionales y tecnologas como por ejemplo MPLS, Multicast, Prximo salto BGP e IPV6

Cada una de las versiones y sus posibilidades depende de la plataforma del Hardware y de su software CISCO IOS

Caractersticas esenciales de Netflow Versiones de Exportacin Netflow

Ejemplo del Datagrama de Exportacin de la versin 5

Caractersticas esenciales de Netflow El MIB de Netflow

Constituye un mtodo fcil y simple de acceder a informacin de Netflow: Informacin de la cach y su configuracin Informacin de la exportacin y su configuracin Estadsticas de Exportacin Estadsticas de Protocolos Informacin sobre la plantillas de exportacin de la versin 9 Informacin de los flujos sobresalientes (tops flows, toptalkers) Top flows provee un mecanismo para mostrar en tiempo real los flujos de la cach que sobresalen. Solo necesitan ser configurados : el nmero de sobresalientes (TopN) el orden (SortBy) y netflow. De forma opcional se configuran: el timeout y los criterios de comparacin

Agenda Hardware y Configuracin Dispositivos que soportan Netflow Hardware que soporta Netflow Referencia de comandos Rendimiento de Netflow

Hardware y Configuracin Dispositivos que soportan Netflow Entre los Dispositivos que soportan Netflow podemos encontrar de CISCO: Routers Switches Catalyst Existen otros vendedores de equipamientos que tambin lo soportan Alcatel Enterasys Foundry Juniper

Hardware y Configuracin Hardware que soporta Netflow de CISCO

Hardware y Configuracin Referencia de comandos

(ip flow ingress (egress) para otras versiones)

Hardware y Configuracin Referencia de comandos

Hardware y Configuracin Referencia de comandos (Ej.)

Hardware y Configuracin Referencia de comandos (Ej.)

Hardware y Configuracin Rendimiento de Netflow

Aproximado de Utilizacin de CPU por nmeros de flujos activos

Nmeros de flujos activos en la cach 10000 45000 65000 Utilizacin de CPU adicional < 4% < 12 % < 16 %

La Reduccin significativa de la Utilizacin del CPU con Netflow se logra mediante:

Sampled Netflow Optimizacin de los tiempos Una arquitectura distribuida

Tener una exportacin doble no tiene un impacto relevante en la utilizacin del CPU

Agenda Herramientas de Anlisis de Trfico Herramientas Scrutinizer Netflow Analyzer 3.5.0 ManageEngine Netflow Analyzer 4

Herramientas de Anlisis de Trfico Herramientas Mediante ellas se puede obtener

Reportes personalizados

Estadsticas de los tops en cuanto a aplicaciones, hosts y conversations

Estadsticas en tiempo real Anlisis detallado de un Host Alarmas Se pueden identificar y clasificar anomalas en la red

Herramientas de Anlisis de Trfico Herramientas

Scrutinizer Netflow Analyzer : Plataformas: Windows 2000/XP/2003

ManageEngine Netflow Analyzer : Plataformas: Windows 2000/XP, Linux

CNS NetFlow Collection Engine : Plataformas: Solaris HP-UX y Red Hat Enterprise Linux

Herramientas de Anlisis de Trfico Herramientas

Netflow Monitor Plataformas: Linux, Unix Stager Plataformas: Linux, Unix JNCA (Java Netflow Collector and Analyzer) Pataformas: JAVA FlowScan Plataformas: GNU/Linux, Unix

Ntop Plataformas: Windows, GNU/Linux, Unix

NFsen Plataformas: Linux, Unix LINK: http://www.networkuptime.com/tools/netflow/

Herramientas de Anlisis de Trfico Scrutinizer Netflow Analyzer 3.5.0

Herramientas de Anlisis de Trfico ManageEngine Netflow Analyzer 4

Conclusiones

Netflow es una herramienta de mucha utilidad para: Monitorear el trfico de la red Realizar proyecciones Detectar anomalas en la Red Se adapta a los cambios de las nuevas Aplicaciones y Servicios