Inhalt
So konfigurieren Sie die Verkehrs-/Bandbreitenüberwachung im Programm
So aktivieren Sie NetFlow auf einem Switch
NetFlow-Collector im Programm konfigurieren und aktivieren
Prüfung „Network traffic (NetFlow v5/9/IPFIX)“ erstellen und konfigurieren
Statistiken, Diagramme und Schaubilder anzeigen
Allgemeine Informationen
NetFlow ist ein von Cisco Systems entwickeltes Netzwerkprotokoll zur Bandbreiten- und Verkehrsüberwachung. Das NetFlow-Protokoll wird nicht nur von Cisco-Geräten unterstützt. Auch andere Hardwarehersteller unterstützen es. Es gibt mehrere Versionen dieses Protokolls; am häufigsten werden die Versionen 5 und 9 verwendet.
Typischerweise werden bei der Verkehrserfassung mit dem NetFlow-Protokoll drei Komponenten eingesetzt:
- Sensor
Er erfasst die Statistik zum durchlaufenden Verkehr. Üblicherweise handelt es sich um einen L3-Switch oder Router. Manchmal werden auch eigenständige Sensoren verwendet, die Daten von einem gespiegelten Switch-Port empfangen. - Collector
Er sammelt die Daten vom Sensor und speichert sie. - Analyzer
Er analysiert die vom Collector erfassten Daten und erzeugt bzw. zeigt menschenlesbare Berichte (z. B. als Diagramme).
Einige Überwachungssysteme können zwei Komponenten in einer vereinen – so wie im Programm „10-Strike Network Monitor Pro“.
Das Betriebsschema des NetFlow-Protokolls im Programm zeigt dieses Diagramm:
Ein Sensor (Switch) erfasst die Daten zum lokalen und Internetverkehr, der ihn passiert. Anschließend sendet er die Daten per UDP an einen Host mit der in den Switch-Einstellungen angegebenen IP-Adresse. Der auf dem Host gestartete Überwachungsserver empfängt die Daten, verarbeitet sie und schreibt sie in die spezielle Programmdatenbank. Dieser Überwachungsdienst liest außerdem die Datenbank, berechnet Verkehrsvolumen und Bandbreite für den gewünschten Zeitraum und vergleicht sie bei der Ausführung der Prüfung Bandwidth and traffic (NetFlow v5/9) mit den festgelegten Schwellenwerten. Überschreiten die aktuellen Werte die Schwellenwerte, erzeugt das Programm Alarme und sendet Benachrichtigungen.
So konfigurieren Sie die Verkehrs-/Bandbreitenüberwachung im Programm
Zur Überwachung von Verkehr und Bandbreite führen Sie im Programm die folgenden Schritte aus:
- Aktivieren Sie das Erfassen und Senden der NetFlow-Statistik auf Ihrem Switch oder Router.
- Konfigurieren Sie die Collector-Einstellungen im Programm.
- Erstellen Sie die Überwachungsprüfung Bandwidth and traffic (NetFlow v5/9) und geben Sie deren Parameter an. Der Collector wird automatisch aktiviert, sobald mindestens eine solche Prüfung vorhanden ist.
- Wenn Sie NetFlow-Statistik ohne Analyse von Geschwindigkeit und Volumen in der Prüfung erfassen möchten, müssen Sie den Collector in den Einstellungen manuell aktivieren.
Jeden Schritt beschreiben wir im Folgenden ausführlich.
So aktivieren Sie NetFlow auf einem Switch
Sie können NetFlow auf einem Switch über die Verwaltungskonsole und einen Satz spezieller Befehle aktivieren. Im Internet finden Sie Anleitungen für Ihr konkretes Gerät. Der Befehlssatz kann je nach Gerätemodell und Hersteller variieren. Bitte beachten Sie die Dokumentation Ihres Geräts.
Betrachten wir die NetFlow-Konfiguration am Beispiel eines CISCO-Switches:
- Wählen Sie die Netzwerkschnittstellen aus, deren Verkehr Sie überwachen und erfassen möchten.
R1(conf)# interface FastEthernet 0/1 R1(config-if)# ip flow ingress R1(config-if)# ip flow egress
- Im zweiten Schritt geben Sie die Collector-Adresse und die empfangende UDP-Portnummer an. Zusätzlich können Sie die mit dem Collector kompatible NetFlow-Protokollversion angeben (in unserem Fall 5 oder 9).
R1(config)# ip flow-export destination 192.168.0.100 2055 R1(config)# ip flow-export version 5
Zum Testen können Sie die folgenden Befehle verwenden:
1) show ip cache flow – zeigt die lokale NetFlow-Statistik auf dem Switch ohne Collector.
2) show ip flow export – zeigt die Statistik zum Datenaustausch mit dem Collector (wie viele Pakete gesendet wurden, aufgetretene Fehler usw.).
NetFlow-Collector im Programm konfigurieren und aktivieren
Die allgemeinen Collector-Parameter finden Sie auf der Registerkarte NetFlow der Programmeinstellungen.
Um Daten von Ihrem Switch zu erfassen, müssen Sie die Port-Nummer angeben, über die vom NetFlow-Sensor (Ihrem Switch) gesendete Pakete empfangen werden. Üblicherweise werden dafür die Ports 9555, 9995 oder 9991 verwendet.
Gibt es in Ihrem Netzwerk mehrere NetFlow-Datenquellen und möchten Sie Daten nur von einem Switch empfangen, geben Sie die gewünschte IP-Adresse im Feld Accept data from one IP an.
Hat der Überwachungsserver mit dem Überwachungsdienst mehrere Netzwerkschnittstellen, können Sie genaue lokale IP-Adressen angeben, die NetFlow-Daten annehmen sollen. Ist dieses Feld leer, werden die Daten auf allen Netzwerkschnittstellen und Adressen empfangen.
Der NetFlow-Collector empfängt große Datenmengen und speichert sie in der Programmdatenbank. Um unkontrolliertes Datenbankwachstum zu vermeiden, verfügt das Programm über einen Mechanismus zum Löschen alter Datenbankeinträge. Geben Sie im Feld Store data for den Zeitraum an, für den das Programm NetFlow-Daten in der Datenbank speichern soll. Beachten Sie, dass große Datenmengen die Analyse und Berichterstellung verlangsamen. Standardmäßig speichert das Programm die Roh-NetFlow-Daten einen Monat lang.
Weitere Einstellungen zur Speicherdauer analysierter Statistikdaten finden Sie im Abschnitt Statistics.
Wichtig! Der Collector startet automatisch und empfängt sowie speichert Daten, sobald Sie mindestens eine Prüfung vom Typ Bandwidth and traffic (NetFlow v5/9) erstellt haben. Wurden keine solchen Prüfungen erstellt oder alle gestoppt, wird der Collector automatisch gestoppt (beim Neustart des Überwachungsdienstes).
Um den Collector ohne Erstellen einer Prüfung Network Traffic (NetFlow v5/9) zu aktivieren, aktivieren Sie einfach die Einstellung Collector is always active.
Prüfung „Network traffic (NetFlow v5/9)“ erstellen und konfigurieren
Um NetFlow-Daten zu empfangen, müssen Sie mindestens eine Prüfung vom Typ Bandwidth and traffic (NetFlow v5/9) erstellen.
Wählen Sie in der Überwachungsliste einen Host aus und fügen Sie eine neue Prüfung hinzu. Wählen Sie Bandwidth and traffic (NetFlow v5/9).
Geben Sie die Parameter der neuen Prüfung an.
Host address (wird automatisch ausgefüllt). Dies ist die Adresse des Geräts, dessen Verkehr Sie überwachen möchten.
Timeout (in Sekunden). Kann der Collector in dieser Zeit keine Daten empfangen, gilt die Prüfung als fehlgeschlagen und Sie erhalten die entsprechende Benachrichtigung (falls der Fehleralarm konfiguriert ist). Ein Timeout-Fehler bedeutet, dass der Switch das Erfassen und/oder Senden der Daten beendet hat oder ein Netzwerkfehler aufgetreten ist.
Traffic filter. Ein Sensor sendet die vollständige Verkehrsstatistik an den Collector. Mit Filtern können Sie speziellen Verkehr zählen, der festgelegte Bedingungen erfüllt. Beispielsweise können Sie nur Verkehr bestimmter Quellen anhand ihrer IP-Adressen zählen. Oder Sie zählen Verkehr für ein bestimmtes Protokoll (z. B. HTTP, FTP, SMTP usw.). Erstellen Sie eigene Regeln der Verkehrserfassung mit den Feldern Count all, except und Ignore all, except.
Textwerte des Filters unterstützen die Maske * (* bedeutet, dass an dieser Stelle ein beliebiges Zeichen oder eine Zeichenfolge stehen kann).
Local IP addresses. Dieser Parameter dient zur Unterscheidung von lokalem/externem und eingehendem/ausgehendem Netzwerkverkehr. Geben Sie in diesem Feld die lokalen IP-Adressen dieses Hosts an. Sie können hier die Maske „*“ verwenden (z. B. 192.168.*.*).
Control: Speed/Volume. Wählen Sie, was Sie überwachen möchten: die Netzwerkgeschwindigkeit (Prozent der verfügbaren Bandbreite) oder das genutzte Verkehrsvolumen. Nach Auswahl der Option Control können Sie die Alarmbedingung konfigurieren (wann die Prüfung als erfolgreich oder fehlgeschlagen gilt).
Nach dem Erstellen der ersten Prüfung dieses Typs startet der Collector automatisch. Sie können dies im Programmprotokoll (NetMonitorPro.log) prüfen. Es sollte ein Eintrag etwa wie folgt erscheinen:
19.05.2017 14:29:34: Netflow Collector started on port: 9991 (v5.4, svc)
Der Überwachungsserver beginnt mit der Analyse der empfangenen Daten, und das Programm kann danach Diagramme anzeigen.
Wichtig! Ein Überwachungsserver kann nur einen NetFlow-Collector starten. Möchten Sie mehrere Collector betreiben, nutzen Sie zusätzliche Überwachungsserver. Diese Collector schreiben die Daten in eine gemeinsame Tabelle NETFLOW in der Programmdatenbank.
Statistiken, Diagramme und Schaubilder anzeigen
Das Programm aggregiert die NetFlow-Verkehrsstatistik und erstellt Diagramme, Zusammenfassungstabellen und Schaubilder. All dies finden Sie auf der Registerkarte NetFlow im Hauptfenster.
Das Dashboard bietet die folgenden NetFlow-Berichte:
- Eingehender Verkehr nach Protokoll
- Ausgehender Verkehr nach Protokoll
- Anzahl eingehender und ausgehender Pakete pro Sekunde
- Top-Hosts des ausgehenden Verkehrs
- Top-Hosts des eingehenden Verkehrs
- Protokollnutzung
- Top ausgehende Ports
- Top eingehende Ports
- Top ausgehende AS
- Top eingehende AS
Im Dashboard können Sie zwischen NetFlow-Datenquellen wechseln sowie das Berichtaktualisierungsintervall, die Statistik-Tiefe und die Anzahl der Punkte in den Ranglisten ändern.