NetFlow este un protocol de rețea conceput pentru a ține cont de traficul de rețea, dezvoltat de Cisco Systems . Este standardul de facto al industriei și este susținut nu numai de echipamentele Cisco, ci și de multe alte dispozitive (în special, Juniper , ZTE și Enterasys ). Există, de asemenea, implementări gratuite pentru sisteme de tip UNIX .
Există mai multe versiuni ale protocolului, dintre care cele mai comune pentru 2011 sunt versiunile 5 și 9. Pe baza versiunii 9, a fost dezvoltat și un standard deschis numit IPFIX (Internet Protocol Flow Information eXport, IP flow information export ). [1] [2]
Pentru a colecta informații despre trafic folosind protocolul NetFlow, sunt necesare următoarele componente:
NetFlow folosește UDP sau SCTP pentru a trimite date de trafic către colector. De obicei, colectorul ascultă pe portul 2055, 9555 sau 9995.
Senzorul selectează fluxurile din traficul care trece , caracterizate de următorii parametri:
Un flux este o colecție de pachete care călătoresc în aceeași direcție. Atunci când senzorul stabilește că fluxul s-a încheiat (prin modificarea parametrilor pachetului sau prin resetarea sesiunii TCP), acesta trimite informații colectorului. În funcție de setări, poate trimite periodic, de asemenea, informații despre fluxurile aflate în funcțiune către colector.
Informațiile colectate sunt trimise ca înregistrări care conțin următorii parametri (pentru versiunea 5):
Versiunea 9 acceptă, de asemenea, câmpuri suplimentare, cum ar fi anteturile IPv6 , etichetele fluxului MPLS și adresa gateway-ului BGP . Unii senzori pot accepta, de asemenea, un număr de sistem autonom .
Dacă se utilizează UDP, atunci o înregistrare pierdută din cauza problemelor de rețea nu va fi primită de colector. Colectorul poate determina pierderea pachetelor din valorile numărului de intrare, care, conform standardului, trebuie să fie în creștere.
Dacă un dispozitiv de rețea (router sau switch) acționează ca un senzor, atunci pentru a economisi resurse, NetFlow este activat doar pentru acele interfețe pe care doresc să colecteze statistici.
„NetFlow eșantionat” este, de asemenea, folosit pentru a conserva resursele CPU. În acest caz, senzorul analizează nu totul, ci fiecare al n-lea pachet, unde n poate fi setat administrativ sau ales aleatoriu. Când se utilizează NetFlow eșantionat, valorile obținute nu sunt exacte, ci estimări.