Conteúdo
Como configurar o monitoramento de tráfego e banda no programa?
Como ativar o NetFlow em um switch?
Configuração e ativação do coletor NetFlow no programa
Criação e configuração da verificação "Network traffic (NetFlow v5/9/IPFIX)"
Estatísticas, gráficos e diagramas
Informações gerais
NetFlow é um protocolo de rede desenvolvido pela Cisco Systems para monitorar banda e tráfego. Não é exclusivo de equipamentos Cisco: outros fabricantes também o suportam. Há várias versões; as mais usadas são a 5 e a 9.
Em geral, a coleta de dados de tráfego com NetFlow usa três componentes:
- Sensor
Coleta as estatísticas do tráfego que passa por ele. Em geral é um switch L3 ou um roteador. Às vezes são sensores independentes, que recebem os dados de uma porta espelhada do switch. - Collector
Recebe os dados do sensor e os grava no armazenamento. - Analyzer
Analisa os dados coletados e gera ou exibe relatórios legíveis (por exemplo, gráficos).
Alguns sistemas de monitoramento juntam dois componentes em um, como faz o "10-Strike Network Monitor Pro".
O esquema de funcionamento do protocolo NetFlow no programa está neste diagrama:
Um Sensor (switch) coleta os dados do tráfego local e de internet que passa por ele. Depois envia esses dados, por UDP, ao host cujo IP está nas configurações do switch. O servidor de monitoramento nesse host recebe os dados, processa e grava no banco do programa. O serviço também lê o banco, calcula volume e banda no período necessário e compara com os limites durante a verificação Bandwidth and traffic (NetFlow v5/9). Se os valores saem dos limites, o programa gera alertas e envia notificações.
Como configurar o monitoramento de tráfego e banda no programa?
Para monitorar tráfego e banda no programa, faça o seguinte:
- Ative a coleta e o envio das estatísticas NetFlow no switch ou roteador.
- Configure o coletor no programa.
- Crie a verificação de monitoramento Bandwidth and traffic (NetFlow v5/9) no programa e informe os parâmetros. O coletor é ativado automaticamente se existir pelo menos uma verificação desse tipo.
- Para coletar estatísticas NetFlow sem analisar velocidade e volume na verificação, ative o coletor manualmente nas configurações.
Cada passo está detalhado a seguir.
Como ativar o NetFlow em um switch?
O NetFlow é ativado no switch pela console de gerenciamento, com um conjunto de comandos. Há artigos na internet para cada aparelho. Os comandos mudam conforme o modelo e o fabricante. Consulte a documentação do dispositivo.
Exemplo de configuração NetFlow em um switch Cisco:
- Selecione as interfaces de rede a monitorar e colete os dados de tráfego nelas.
R1(conf)# interface FastEthernet 0/1 R1(config-if)# ip flow ingress R1(config-if)# ip flow egress
- O segundo passo é o endereço do coletor e a porta UDP de recebimento. Também dá para indicar a versão do protocolo NetFlow compatível com o coletor (5 ou 9, neste caso).
R1(config)# ip flow-export destination 192.168.0.100 2055 R1(config)# ip flow-export version 5
Estes comandos servem para teste:
1) show ip cache flow — mostra as estatísticas NetFlow locais no switch, sem o coletor.
2) show ip flow export — mostra as estatísticas da troca com o coletor (quantos pacotes foram enviados, erros etc.)
Configuração e ativação do coletor NetFlow no programa
Os parâmetros gerais do Collector ficam na guia NetFlow das configurações do programa.
Para começar a coletar os dados do switch, informe o número da port que recebe os pacotes do NetFlow Sensor (o switch). Em geral são as portas 9555, 9995 ou 9991.
Se houver várias fontes NetFlow na rede e os dados devem vir de um único switch, informe o IP no campo Accept data from one IP.
Se o servidor de monitoramento tiver várias interfaces de rede, informe os local IP addresses que devem aceitar os dados NetFlow. Se o campo ficar vazio, os dados chegam em todas as interfaces e endereços.
O NetFlow Collector recebe um volume grande de dados e os guarda no banco do programa. Para o banco não crescer sem controle, há um mecanismo de exclusão de registros antigos. O período de guarda fica no campo Store data for. Guardar muitos dados deixa a análise e os relatórios mais lentos. Por padrão, os dados brutos de NetFlow ficam um mês.
Outras opções do período de guarda das estatísticas já analisadas ficam na seção Statistics.
Importante! O Collector inicia sozinho e passa a receber e gravar os dados depois da criação de pelo menos uma verificação do tipo Bandwidth and traffic (NetFlow v5/9). Se nenhuma foi criada, ou se todas foram paradas, o Collector para sozinho (na reinicialização do serviço de monitoramento).
Para ativar o coletor sem criar uma verificação Network Traffic (NetFlow v5/9), basta ligar a opção Collector is always active.
Criação e configuração da verificação de monitoramento "Network traffic (NetFlow v5/9)"
Para começar a receber dados NetFlow, crie pelo menos uma verificação do tipo Bandwidth and traffic (NetFlow v5/9).
Selecione o host na lista de monitoramento e inclua uma verificação nova. Escolha Bandwidth and traffic (NetFlow v5/9).
Informe os parâmetros da verificação nova.
Host address (preenchido automaticamente). É o endereço do dispositivo cujo tráfego será monitorado.
Timeout (em segundos). Se o Collector não receber dados nesse prazo, a verificação é considerada com falha e a notificação correspondente é enviada (se o alerta de falha estiver configurado). O erro de timeout significa que o switch parou de coletar e/ou enviar os dados, ou que houve um erro de rede.
Traffic filter. O Sensor envia a estatística completa do tráfego ao Collector. Com filtros, dá para contar só o tráfego que atende a certas condições. Por exemplo, só de algumas origens, listando os IPs. Ou só de um protocolo (HTTP, FTP, SMTP etc.). As regras de contabilização ficam nos campos Count all, except e Ignore all, except.
Os valores de texto do filtro aceitam a máscara * (o * representa qualquer caractere ou cadeia).
Local IP addresses. Este parâmetro separa o tráfego em local/externo e de entrada/saída. Informe os IPs locais desse host. A máscara '*' também vale (por exemplo, 192.168.*.*).
Control: Speed/Volume. Escolha o que monitorar: a velocidade da rede (percentual da banda disponível) ou o volume de tráfego utilizado. Depois da opção Control, configure a condição de alerta (quando a verificação é aprovada ou com falha).
Depois da primeira verificação deste tipo, o Collector começa a trabalhar sozinho. A confirmação fica no log do programa (NetMonitorPro.log). Deve aparecer um registro como este:
19.05.2017 14:29:34: Netflow Collector started on port: 9991 (v5.4, svc)
O servidor de monitoramento passa a analisar os dados recebidos, e os gráficos aparecem na tela.
Importante! Um servidor de monitoramento inicia só um coletor NetFlow. Para vários coletores, use servidores de monitoramento adicionais. Eles gravam os dados na mesma tabela NETFLOW do banco do programa.
Estatísticas, gráficos e diagramas
O programa agrega as estatísticas de tráfego NetFlow e cria gráficos, tabelas-resumo e diagramas. Tudo isso fica na guia Netflow da janela principal.
O painel apresenta estes relatórios NetFlow:
- Tráfego de entrada por protocolo
- Tráfego de saída por protocolo
- Número de pacotes de entrada e de saída por segundo
- Principais hosts do tráfego de saída
- Principais hosts do tráfego de entrada
- Uso de protocolos
- Principais portas de saída
- Principais portas de entrada
- Principais AS de saída
- Principais AS de entrada
No painel dá para trocar a fonte de dados NetFlow, o intervalo de atualização do relatório, a profundidade das estatísticas e a quantidade de itens nos rankings.