Flowmon Netflow

NetFlow est un outil de gestion et de sécurité des réseaux modernes. Il s'agit de la norme la plus largement utilisée pour la surveillance du trafic réseau, qui permet aux administrateurs réseau, aux ingénieurs en sécurité et aux responsables des opérations d'acquérir une connaissance approfondie de leur environnement informatique. NetFlow apporte une efficacité totalement nouvelle lorsque les professionnels de l'informatique effectuent des dépannages, des planifications de capacité, des diagnostics de performance et bien d'autres tâches.

La nouvelle génération de gestion des performances et de la sécurité du réseau

Pendant des années, la surveillance régulière d'un réseau a été assurée par le protocole SNMP qui fournit une vue d'ensemble de l'infrastructure informatique, donnant aux administrateurs de réseau des informations sur la disponibilité de ses composants. Aujourd'hui, alors que la disponibilité et le bon fonctionnement du réseau d'une entreprise sont cruciaux pour son existence, des informations beaucoup plus nombreuses et des méthodes sophistiquées sont nécessaires. Pour obtenir ces informations, Cisco a créé NetFlow, une norme permettant de recueillir des statistiques sur le trafic réseau à partir de routeurs, de commutateurs ou de sondes réseau spécialisées.

NetFlow fournit des informations sur les couches 3 et 4, à savoir les adresses IP, les ports, les protocoles, les horodatages, le nombre d'octets, de paquets, de drapeaux et plusieurs autres détails techniques. On pourrait facilement l'imaginer comme une liste d'appels téléphoniques. Nous savons qui communique avec qui, quand, combien de temps, à quelle fréquence, etc. mais nous ne savons pas quel était le sujet de la conversation. En collectant, stockant et analysant ces informations agrégées, les administrateurs de réseau, les ingénieurs en sécurité ou les responsables des opérations peuvent s'acquitter de plusieurs tâches.

Collecte du flux net. Comment cela fonctionne-t-il ?

NetFlow est la norme la plus largement utilisée pour les statistiques de données de flux dans la communication réseau. Dans le langage d'un environnement de réseau de données, un flux représente une communication réseau avec la même adresse IP source, le même port source, le même protocole L4, la même adresse IP de destination et le même port de destination. NetFlow est disponible en plusieurs versions qui varient de manière significative, de sorte que la compréhension de la version de NetFlow est importante pour choisir les solutions adaptées à des besoins particuliers :

• NetFlow v5 - la version la plus courante disponible sur divers routeurs et composants actifs du réseau. Cependant, cette version ne répond pas aux besoins actuels. NetFlow v5 ne supporte pas le trafic IPv6, les adresses MAC, les VLANs ou d'autres champs d'extension.
• NetFlow v9 - norme basée sur des modèles décrite dans la RFC 3954. Elle supporte IPv6 ainsi que les champs manquants dans NetFlow v5.
• NetFlow v10 aka IPFIX - normalisée par l'IETF, version étendue de NetFlow v9 qui prend en charge les champs de longueur variable (par exemple, le nom d'hôte HTTP ou l'URL HTTP) ainsi que les champs définis par l'entreprise.

Actuellement, les versions les plus utilisées sont NetFlow v5 (format fixe) et NetFlow v9 (basé sur des modèles, flexible). Un autre protocole couramment utilisé est appelé IPFIX, également connu sous le nom de NetFlow v10. Internet Protocol Flow Information Export (IPFIX) a été créé par le groupe de travail de l'IETF à partir du besoin d'une norme commune et universelle d'exportation des informations de flux IP. La norme IPFIX définit la manière dont les informations de flux IP sont formatées et transférées d'un exportateur à un collecteur. Auparavant, de nombreux opérateurs de réseaux de données s'appuyaient sur la norme propriétaire Cisco NetFlow pour l'exportation d'informations sur les flux de trafic. L'IPFIX est un successeur beaucoup plus flexible du format NetFlow et nous permet d'étendre les données de flux avec plus d'informations sur le trafic du réseau.

Le principe de NetFlow est décrit dans la vidéo ci-dessus. Lorsqu'une requête d'un client vers le serveur est envoyée (enveloppe verte), le dispositif actif doté de la capacité d'exportation NetFlow examine l'en-tête du paquet et crée un enregistrement de flux. L'enregistrement de flux contient des informations sur les adresses IP et les ports source et destination, le numéro de protocole, le nombre d'octets et de paquets et toutes les autres informations des couches 3 et 4. Les communications individuelles sur le réseau de données sont identifiées par cinq attributs : adresses IP source et destination, ports et numéro de protocole. Ainsi, lorsque le serveur répond au client, les adresses IP et les ports de l'en-tête du paquet sont inversés et un autre enregistrement de flux est créé - NetFlow est une technologie de trafic à sens unique. Les paquets suivants ayant les mêmes attributs mettent à jour les enregistrements de flux précédemment créés (par exemple : nombre d'octets, durée de la communication). Lorsque la communication est terminée, les enregistrements de flux sont envoyés au collecteur, où les données sont prêtes à être stockées et analysées pour différentes raisons.