s03-流量分析技术-netflow.ppt

1、3-1,IP网络流量分析,NETFLOW技术原理,第三章,3-2,IP网络流量分析,目录,NETFLOW技术原理 主流流量分析工具简介 实验 使用NETFLOW对网络流量进行分析,3-3,IP网络流量分析,NetFlow原型,3-4,IP网络流量分析,NetFlow 的7个关键字,Flow是由7个关键字段标识单方向的连接 IPsrc，源IP地址 IPdst，目标IP地址 srcPort，源通信端口号 dstPort，目标通信端口号 Protocol，第三层协议类型 TOS，TOS字节（DSCP） Ifindex，网络设备输入（或输出）的逻辑网络端口,3-5,IP网络流量分析,NetFlow原理

2、1,每当路由器端口上收到一个数据包，都会扫描这7个字段来判断次数据包是否属于一个已经存在的flow 是相应的flow记录内的数据包数，整个flow过程的字节大小就会相应增加 否一条新的描述这个session的flow在cache中生成 在新的flow不断生成的同时，cache内过期的flow记录以UDP方式导出,3-6,IP网络流量分析,NetFlow原理2,3-7,IP网络流量分析,支持NetFlow的设备,NE系列,3-8,IP网络流量分析,对于不支持netflow的设备,读入流量，生成netflow数据 Nprobe v5/v9/nFlow Probe for IPv4/v6 Packe

3、t Size (Bytes): Throughtput (Pkt/sec) 64 about 144 Mbit 512 about 850 Mbit 1500 about 970 Mbit GPL：但是不免费,3-9,IP网络流量分析,NetFlow版本,3-10,IP网络流量分析,版本 V5,3-11,IP网络流量分析,版本 v8,3-12,IP网络流量分析,版本v9,3-13,IP网络流量分析,版本v9,3-14,IP网络流量分析,NetFlow的性能,CPU With 10000 active flows: 7.14 percentage points of additional CPU

4、 utilization With 45000 active flows: 19.16 percentage points of additional CPUutilization With 65000 active flows: 22.98 percentage points of additional CPU utilization 带宽 Netflow is very efficient, the amount of export data being about 1.5% of the switched traffic in the router,3-15,IP网络流量分析,NetFl

5、ow实测对比,CISCO实测 某省骨干端口GE口GSR12416 CPU前后没有变化2 平均入流量在650M，采样率为500的时候 15分钟平均flow条数为110000万条 每秒122条flow 122*1.4k=171k/sec 预期：650M的百分之一6.5兆=6500k,Juniper实测 某省骨干端口GE JUNIPER M160 CPU前后没有变化3.76 平均入出流量在380M，采样率为100的时候 15分钟平均flow条数为700000万条 每秒778条flow 778*1.3k=1011k/sec 预期：380M的百分之一3.8兆=3800k,3-16,IP网络流量分析,Ne

6、tFlow采样,Significantly reduces CPU utilization 采样模式 Deterministic sampling: select every Nth packets, with N specified by the user. Random sampling: randomly select one out of N packets with N specified by the user. Time based sampling: select a sampled packet every N milli-seconds Random sampling is

7、 considered the best technique for packet sampling,3-17,IP网络流量分析,NetFlow采样,新推出 Available on Cisco routers in 12.3(7)T and 12.2(25)S 从翻的MIB表里面看主要是TOP x属性 “ciscoNetflowMIB” “1.3.6.1.4.1.9.9.387” E.g. “cnfTopFlowsNhAddressType” “cnfTopFlowsNhAddress” “cnfTopFlowsDstPort” “cnfTopFlowsDstAS” “cnfTopFlows

8、InputlfIndex”,3-18,IP网络流量分析,NetFlow开源产品,主流的开源产品包括：flow-tools、stager、Cflowd、CUFLOW、SiLK. 特征: 命令行或者简单图形 命令行功能丰富 图形的一般都基于rrdtools 图形的一般都基于TOPN表示,3-19,IP网络流量分析,NetFlow商用产品,商用产品 Mazunetworks 基于网络的IPS系统 NetScout 网络性能管理综合解决方案，探针 Protego SI/EM之上的STM，刚被cisco收购 Adlex Arbor 见后 GenieNRM 见后 Arbor，Adlex是CISCO安全策略

9、合作伙伴,3-20,IP网络流量分析,Flow tools,3-21,IP网络流量分析,Arbor,支持NetFlow V5，V7，V9，probe Peakflow SP（最新的arbor主页无法看到DoS和Traffic，合并了？） Peakflow DoS：主要侧重于网络内的异常行为 Peakflow Traffic：主要侧重于流量和路由行为 国外较多网络宽带提供商据使用的是Arbor的产品，如： AT) TOPN应用 TOPN活跃的网段，主机 谁在BT，睡在架设私服，谁在发垃圾邮件 某种应用的历史实时曲线 QoS . .,3-27,IP网络流量分析,NetFlow优点与缺点,优点 面向

10、网络核心设备 没有payload，适用于高宽带 检测未知的网络攻击/蠕虫，大规模爆发 基于统计的异常模式分析 缺点 没有payload 存储，处理要求 网络设备支持性 设备性能影响,3-28,IP网络流量分析,NetFlow适用范围,对高带宽，网络骨干，重点区域的监控,3-29,IP网络流量分析,NetFlow配置1,配置netflow版本号 在config全局状态下 (config)#ip flow-export version 5 此命令将netflow配置为版本5 本程序暂时只支持netflow版本V1、V5、V6,3-30,IP网络流量分析,NetFlow配置2,配置netflow服务

11、器地址和端口号 config全局状态下： (config)#ip flow-export destination xxx.xxx.xxx.xxx 55888 xxx.xxx.xxx.xxx为netflow服务器地址，即运行netflow版流量监视程序主机的IP地址 55888为服务端口号,3-31,IP网络流量分析,NetFlow配置3,配置Cisco系列路由器/交换机 每个接口上,例如 interface fastethernet0/0 interface fastethernet0/1 config全局状态下： (config-if)#ip route-cache flow,3-32,IP网络流量分析,NetFlow配置4,配置时区、时钟 在Config全局状态下 (config)#clock timezone Beijing 8 此命令配置为