Flowmon Netflow

NetFlow is een enabler van modern netwerkbeheer en -beveiliging. Het is de meest gebruikte standaard voor het monitoren van netwerkverkeer en biedt netwerkbeheerders, security engineers en operations managers diepgaande kennis over hun IT-omgeving. NetFlow zorgt voor een volledig nieuwe effectiviteit bij IT-professionals bij het uitvoeren van troubleshooting, capaciteitsplanning, prestatiediagnostiek en vele andere taken.

De volgende generatie netwerk performance en security management

Jarenlang werd de regelmatige bewaking van een netwerk uitgevoerd door het SNMP-protocol dat een overzicht geeft van de IT-infrastructuur; netwerkbeheerders kregen informatie over de beschikbaarheid van de componenten. Vandaag, wanneer de beschikbaarheid en goede werking van het netwerk van een bedrijf van cruciaal belang is voor zijn bestaan, zijn veel meer informatie en gesofisticeerde methodes nodig. Om deze informatie te verkrijgen heeft Cisco NetFlow ontwikkeld, een standaard voor het verzamelen van statistieken over netwerkverkeer van routers, switches of gespecialiseerde netwerksondes.

NetFlow levert informatie van laag 3 en laag 4, dat wil zeggen IP adressen, poorten, protocol, tijdstempels, aantal bytes, pakketten, vlaggen en diverse andere technische details. Het kan gemakkelijk worden voorgesteld als een lijst van telefoongesprekken. We weten wie met wie communiceert, wanneer, hoe lang, hoe vaak enz. maar we weten niet wat het onderwerp van het gesprek was. Door deze geaggregeerde informatie te verzamelen, op te slaan en te analyseren, kunnen netwerkbeheerders, beveiligingsingenieurs of operationele managers verschillende taken uitvoeren.

Netflow verzamelen. Hoe werkt het?

NetFlow is de meest gebruikte standaard voor flow data statistieken in netwerk communicatie. In de taal van een datanetwerkomgeving staat één flow voor een netwerkcommunicatie met hetzelfde bron IP adres, bronpoort, L4 protocol, bestemming IP adres en bestemmingspoort. NetFlow is beschikbaar in verschillende versies die aanzienlijk verschillen, zodat het begrijpen van de NetFlow versie belangrijk is bij het kiezen van de juiste oplossingen voor bepaalde behoeften:

• NetFlow v5 - de meest voorkomende versie die beschikbaar is op diverse routers en actieve netwerkcomponenten. Deze versie voldoet echter niet aan de huidige behoeften. NetFlow v5 ondersteunt geen IPv6 verkeer, MAC adressen, VLAN's of andere uitbreidingsvelden.
• NetFlow v9 - sjabloon-gebaseerde standaard beschreven in RFC 3954. Het ondersteunt IPv6, alsmede de velden die ontbreken in NetFlow v5.
• NetFlow v10 aka IPFIX - gestandaardiseerd door IETF, uitgebreide versie van NetFlow v9 die velden van variabele lengte ondersteunt (bv. HTTP hostname of HTTP URL) alsook door ondernemingen gedefinieerde velden.

Momenteel zijn de meest gebruikte versies NetFlow v5 (vast formaat) en NetFlow v9 (gebaseerd op sjablonen, flexibel). Een ander veelgebruikt protocol heet IPFIX, ook bekend als NetFlow v10. Internet Protocol Flow Information Export (IPFIX) werd gecreëerd door de IETF werkgroep vanuit de behoefte aan een gemeenschappelijke, universele standaard voor de export van IP flow informatie. De IPFIX-standaard definieert hoe IP-flowinformatie wordt geformatteerd en overgedragen van een exporteur naar een verzamelaar. Voorheen vertrouwden veel exploitanten van datanetwerken op de propriëtaire NetFlow-standaard van Cisco voor de export van informatie over verkeersstromen. De IPFIX is een veel flexibelere opvolger van het NetFlow formaat en maakt het mogelijk om flow data uit te breiden met meer informatie over het netwerkverkeer.

Het principe van NetFlow wordt beschreven in de video hierboven. Wanneer een verzoek van een client naar de server wordt gestuurd (groene enveloppe), kijkt het actieve apparaat met NetFlow export mogelijkheid in de packet header en maakt een flow record aan. Het flow record bevat informatie over de bron & bestemming IP adressen en poorten, protocol nummer, aantal bytes en pakketten en alle andere informatie van laag 3 en 4. Individuele datanetwerkcommunicatie wordt geïdentificeerd aan de hand van vijf attributen: IP-adressen van bron en bestemming, poorten en protocolnummer. Dus wanneer de server antwoordt op de client worden IP adressen en poorten in de packet header omgedraaid en wordt een ander flow record aangemaakt - NetFlow is eenrichtingsverkeer technologie. De volgende pakketten met dezelfde attributen updaten de eerder gemaakte flow records (bv.: aantal bytes, duur van de communicatie). Als de communicatie voorbij is, worden de flow records naar de collector gestuurd, waar de gegevens klaar zijn om te worden opgeslagen en geanalyseerd om verschillende redenen.