Netflow建置与应用.ppt

Netflow建置與應用,.tw林嘉軒,簡介,前面會講Netflow的概念運作方式用途後面會提到Netflow實做的部分在UNIX上面安裝相關軟體撰寫相關程式分析數據,什麼是Netflow?,紀錄流過封包的摘要，通常包括了：Protocol種類(ICMP/TCP/UDP/)Port號碼(TCP/UDP/)封包數目封包大小一開始是在CiscoRouter上所提供幾乎是工業標準,Netflow的用途?,統計流量流量監控、流量分析、使用生態分析詳細的連線記錄連線記錄可以作為證據,Netflow運作方式(1),NetflowRouter,PC(統計用的主機),PacketSummary,內部網路,上游,有Netflow功能Router的作法,Netflow運作方式(2),內部網路,有PortMirror功能的Switch,沒有Netflow功能的Router,上游,PC(統計用的主機),沒有Netflow功能Router的作法,Packet(NOTSUMMARY!),Netflow的硬體需求,製造flow的工具Cisco7seriesrouter，或是NTOP以及一顆有PortMirror功能的Switch計算flow的工具一台PCCPU隨意，記憶體要大，最好有512MB硬碟要大，看需要選擇用IDE或RAID5,Netflow的軟體需求,OS：FreeBSD或是Linux都可以產生flow的軟體：flow-toolsNetflowExporterNTOP統計軟體：視需求自己撰寫或是修改程式,硬體的設定,在CiscoRouter上設定：ipflow-exportipflow-export56789,軟體的安裝(flow-tools),flow-tools可以在下面這個網址抓到：,軟體的設定(flow-tools),flow-capture接收Router丟過來的Dataflow-capture-e1440-N0-n143-z6-w-e1440表示保留1440個檔案(十天)-N0請參考manflow-capture的說明-n143表示每天有144個檔案，也就是設定為十分鐘一個檔案。-z6表示壓縮率，通常6就夠用-w表示要把檔案放到那個路徑,無Netflow功能時使用的軟體,中央大學劉劍青先生寫的NetflowExporter.tw/NetflowExporter/NTOP/(原始站台)/usr/ports/net/ntop(FreeBSDPorts),軟體的使用-flow-print,flow-print負責將存起來的Rawdata顯示出來flow-cat/|flow-print-f3|less-f3為顯示的格式，請參考manflow-print裡面的說明less是分頁用的工具,軟體的使用-flow-print(範例),srcIPdstIPprotsrcPortdstPortoctetspackets4536133884401435361604854018536168586401385361325874015253619018840117643798044165361729894013391710291377816453613119040105361109914017168043794014353619529240111268032272814,軟體的使用-ACL,ACL可以設定要過濾哪些flow但是只包括IP，不包括Portflow.acl(或者隨便取)：ipaccess-liststandardnctudeny55(新竹中學的範圍)ipaccess-liststandardnctupermit55,軟體的使用-flow-filter,透過ACL過濾(filter)flowflow-cat/|flow-filter-p53-Snctu-fflow.acl|flow-print-f3|less-p53是規定sourceport是53-S是sourceip符合nctu的規定-f是ACL的檔案位置,軟體的使用-flow-filter(範例),srcIPdstIPprotsrcPortdstPortoctetspackets11753416337711175341634123111753416358511175341636135111753416371281117534163812511175341639831217532767138111753416401081163.28