Netflow技术白皮书
烽火网络Netflow技术白皮书
目录
烽火网络NETFLOW技术白皮书 (1)
1.概述 (1)
2.参考标准 (1)
3.技术介绍 (2)
3.1. 常用术语 (2)
3.2. Netflow的应用场合 (2)
4.系统容量 (2)
5.配置命令 (3)
5.1. 全局配置命令 (3)
5.2. 执行命令 (3)
5.3. DEBUG命令 (3)
6.组网应用 (4)
7.故障分析 (5)
1. 概述
随着Internet应用的蓬勃发展，企业可及时的将分散与世界各地的有用资源统筹串连起来，所有林林总总的网络活动，无不显示着网络已成功的成为资讯来源以及电子商务的作业平台。由于图形、广播、给视频科技越来越普及，网络的资料约每天成长一倍，获取网络效率的提升并不乐观，网络的带宽，网站服务器的性能，同时间上网的人数，某些特殊事件造成网络的拥塞等，这些都会影响到网络流畅与否。使用者期望得到有效率及快速的使用，但常因为连线时间不稳或反应时间慢，因而令使用者感到失望。因此网络对外的连接品质和网络性能受到很大冲击，在此期间，已迫切的需要能够评估构建一个可满足目前需求、同时要兼顾未来的成长空间的网络环境。此时，可利用路由器的监视功能（Netflow）来
收集网络的带宽使用信息，从获得的流量数据中可以获取以下信息：(1)何种网络协议是流量的瓶颈所在；（2）满足使用者对网络的需求，提高客户满意度；（3）通过网络应用服务的使用者的IP进行排名，查看是否有无不同的使用；（4）获得内部流量和外部流量的对比，来了解网络的使用状况和未来的发展方向。
2. 参考标准
? NetFlow Services Solutions Guide，Cisco 2001
3. 技术介绍
3.1.常用术语
? Flow
从源到目的的单向数据流，通常，一个Flow条目包含以下信息：源地址、目的地址、源端口、目的端口、协议类型。TOS类型、输入接口的逻辑索引。以上七位元素唯一的定义了一条Flow条目，根据NetFlow的版本不同，可能Flow条目的信息还包含其它的字段内容。注意：NetFlow仅支持单播的数据流。
? Netflow Cache
Netflow Cache记录了所有的活跃的NetFlow信息，当每一个分组首次转发时，都将创建一条Netflow Cache 的条目，所有的Netflow信息均记录在Netflow Cache 中，以供将来统计使用。
? Netflow Active Timer
表明经过多长时间，Netflow Cache记录的所有活跃的NetFlow信息将被导出到NetFlow服务器。定时器的缺省时间为30分钟，可由用户设置。
? Netflow Inactive Timer
表明经过多长时间，Netflow Cache记录的所有不再活跃的NetFlow信息将被导出到NetFlow服务器。定时器的缺省时间为15秒，可由用户设置。
https://www.360docs.net/doc/4c12947400.html,flow的应用场合
? 统计流量信息，以供记帐使用。
? 通过一定时间的网络检测，便于以后的网络规划。
? 均衡流量，用于流量工程。
? 实时监视网络的使用情况，如各个接口的上下行流量。
? 监视网络用户的使用情况。
? 为网络安全分析提供依据。
4. 系统容量
MROS缺省的netflow cache entry条目为4096，最大可配置到65535。
5. 配置命令
5.1.全局配置命令
ip flow-export (A.B.C.D) <0-65535>
要想利用netflow进行网络流量的监控和分析，可利用此命令来进行。其中，(A.B.C.D)表示目的服务器的IP地址，<0-65535>表示目的服务器的UDP服务端口。
ip flow-export version (1/5/7)
配置netflow的协议版本，取值为1、5或7。
ip flow-cache entries <1024-65535>
配置netflow记录的流条目的数量，<1024-65535>表示记录的流条目的数量。
ip flow-cache active-timeout <1-60>
配置netflow记录的活跃的流的定时器超时时间，单位为分钟，缺省值30分钟。
ip flow-cache inactive-timeout <10-600>
配置netflow记录的非活跃的流的定时器超时时间，单位为秒，缺省值15秒。
5.2.执行命令
show ip flow export
查看netflow的配置信息。
show ip flow cache
查看netflow记录的cache条目。
show ip flow statistics
查看netflow的记录的统计信息。
5.3.DEBUG命令
无。
6. 组网应用
Eth 1/8
10.18.12.13
图1：Netflow应用方案
如上图所示，描述了Netflow的应用案例。其中R4101启动了Netflow功能，负责收集路由器上发生的流量信息，每隔一段时间向Netflow Server通告netflow 的协议报文，而Netflow Server再提取出流量数据，记录在数据库中，提供网络分析、流量分析和各种统计等。
配置步骤：
1、安装Sybase Adaptive AnyWhere数据库和Netflow Server的应用软件。
2、在路由器上启动Netflow服务。
ip flow-export 10.18.12.13 8888
3、运行Netflow Server的应用程序，设置相应端口使能Netflow。
4、观察Netflow Server的运行记录，可得到如下的图例。
图2：Netflow Server运行图例7. 故障分析
— 查看netflow的配置信息
例：
Fengine#show ip flow export
Flow export is enabled
Exporting flows to 61.183.123.254 (8888)
Exporting using source IP address 0.0.0.0
Flow Version 1
Active flows timeout in 30 minutess
Inactive flows timeout in 15 seconds
— 查看netflow记录的cache条目
例：
Fengine#show ip flow cache
Active flow cache entris:1
Src-If Src-IP Dest-If Dest-IP Proto S-Port D-Port Pkts 1/9 10.20.1.1 Local 10.20.2.2 1 0 0 19
NETFLOW配置及软件
一、测试环境介绍 1、硬件1台6509交换机，1台3745路由器 IOS (tm) c6sup2_rp Software (c6sup2_rp-JS-M), Version 12.1(22)E6, RELEASE SOFTWARE (fc1) System image file is "disk0:c6sup22-js-mz.121-22.E6.bin" IOS (tm) 3700 Software (C3745-IS-M), Version 12.2(13)T5, RELEASE SOFTWARE (fc1) System image file is "flash:c3745-is-mz.122-13.T5.bin" 2、软件solarwinds NetFlow Traffic Analysis 3.0、 ManageEngine_NetFlowAnalyzer_7002、 二、硬件配置 1、NETFLOW配置文档。 2、6509配置 mls netflow mls flow ip destination-source mls nde sender version 5 (我们的设备只有版本5) ip flow-export source Loopback0 （如果有L0接口用其他接口也可以） ip flow-export version 5 ip flow-export destination 192.168.4.165 2055 （2055是SOLAR公司的NETFLOW端口，9996端口是manangeengine公司的端口。两个端口号都是UDP 协议） 到此配置结束通过下面命令显示配置结果 CAT6509_1#show mls nde Netflow Data Export enabled Exporting flows to 192.168.4.165 (2055) Exporting flows from 218.30.64.33 (57965) Version: 5 Include Filter not configured Exclude Filter not configured Total Netflow Data Export Packets are: 612381 packets, 0 no packets, 16537978 records Total Netflow Data Export Send Errors: IPWRITE_NO_FIB = 0
netflow安装过程
Netflow安装步骤 一、安装linux 操作系统，安装是要把apche(www服务器)组件和development tools(编译安装工具)选上 二、部署flow-statcgi Flow-statcgi是一个基于flow-tools的browse/server结构（cgi）的NetFlow数据分析工具。 2.1cisco设备的设置 cisco设备的NetFlow支持,首先要培植cisco设备，使之产生NetFlow数据，输出到服务器的2055端口上。 2.2安装flow-tools 0.56 使用flow-tools来接收NetFlow数据，并保存成文件。 为了顺利编译flow-statcgi，要将flow-tools的源文件解压缩到/root下： 1．将flow-tools-0.56.tar.gz复制到服务器的/root目录下。 2．cd /root ; tar zxvf flow-tools-0.56.tar.gz ; cd flow-tools-0.56(这是三个命令用一行执行) 3．./configure 4．make 5．make install 2.3安装apache server 使用apache server来做http服务器。 由于各apache server的配置不一样，在flow-statcgi中假设cgi-bin目录为/var/www/cgi-bin，www目录为/var/www/html。如果有变动，需要修改flow-statcgi.c中的“DEBUGFILENAME”、make_flow_cgi.sh中的“/var/www/cgi-bin/” 三、编译和安装flow-statcgi 3.1预处理 1．将flow-statcgi.c复制到/root/flow-tool-0.56/src/，将flow-statcgi.temple.html复制到/var/www/cgi-bin/（cgi所在目录），将flow-statcgi.log.html复制到 /var/www/html/（html所在目录），注意要在这里把flow-statcgi.log.html的属性 加个可写属性。 2．修改flow-statcgi.c中的“DEBUGFILENAME”（要改成html文件所在的位置）、“DataDir”（要改成flow-tool数据所在目录） 3．修改flow-statcgi.c中的“isip”部分，同时修改“ISIPCOUNT ”、“isipdesc”，“isip”。 详细说明见《Flow-statcgi使用说明》中的“预定义条件”。 3.2编译、安装 把make_flow_cgi.sh这个文件拷贝到/root目录下，修改make_flow_cgi.sh中的“/var/www/cgi-bin”为cgi所在目录。执行一下命令进行编译、安装“sh make_flow_cgi.sh flow-statcgi”，这样会在cgi目录下面生成一个flow-statcgi的cgi文件。其中编译之后会出现警告信息，可以忽略不管。 四、运行flow-tools 1．把startflowreceive.sh和starflowcapture.sh这两个shell命令文件拷到/root目录下2．执行“sh startflowreceive.sh”命令 3．执行“sh startflowcapture.sh”命令
使用nfsen+sflow+netflow分析网络流量
使用nfsen+sflow+netflow分析网络流量 一.前言 因为发现有一台hp交换器的负载特别高，但要找出那个IP 造成的，单以tcpdump 分析起来会很难发现问题，因此想要利用hp 交换机具有的sflow功能并搭配nfsen 来分析sflow 结果，如此可以帮助我们分析网络中的流量组成，抓取实施带宽使用情况，帮我找出"hog"。最终也让我达到目的，感谢open source 相关组织及多位不计付出的IT 前辈。 需求系统及软件 OS: CentOS 6.8 X64 / CentOS 7.6 X64 nginx-1.9.15.tar.gz php-7.1.15.tar.bz2 nfdump-1.6.13.tar.gz nfsen-1.3.7.tar.gz 二.下载资源 https://www.360docs.net/doc/4c12947400.html,/download https://www.360docs.net/doc/4c12947400.html,/download/nginx-1.9.15.tar.gz https://www.360docs.net/doc/4c12947400.html,/nfsen/nfsen-1.3.7.tar.gz https://www.360docs.net/doc/4c12947400.html,/project/nfdump [注] https://www.360docs.net/doc/4c12947400.html,/nfsen预设下载的版本是 1.3.6p1 ，但这个版本我在centos 6.8 及7.3 都发生相同的错误，也许是运气不佳，但使用nfsen-1.3.7.tar.gz 到是没什么问题 三.ngnix 及php 的安装 相关rpm 安装 yum -y install gcc-c++ pcre pcre-devel zlib zlib-devel openssl openssl-devel yum -y install libxml2 install libxml2-devel openssl openssl-devel \ curl curl-devel libjpeg libjpeg-devel libjpeg libjpeg-devel libpng \ libpng-devel freetype freetype-devel pcre pcre-devel libxslt \ libxslt-devel bzip2 bzip2-devel libxslt libxslt-devel [ngnix 安装] useradd www tar -xvf nginx-1.9.15.tar.gz cd nginx-1.9.15 /configure --prefix=/ap/nginx ＃＃你可以不加--prefix这这参数，这样会安装在/usr/loca/ngnix 目录下 make && make install [ ngnix.conf 设定档修改] (1)user www www; ##必须加上group 否则会有nginx: [emerg] getgrnam("www") failed in ... 错误 (2)location / { root html; index index.php index.html index.htm;
基于NetFlow的网络流量采集技术和应用
第31卷 第23期 2009年12月武 汉 理 工 大 学 学 报JOURNA L OF WUHAN UNIVERSIT Y OF TECHN OLOG Y Vol.31 No.23 Dec.2009DOI :10.3963/j.issn.167124431.2009.23.037 基于N etFlow 的网络流量采集技术和应用 孟晓蓓 (武汉大学计算机中心,武汉430072) 摘 要: 针对计算机网络状况监控领域的实际需要,提出了基于Net Flow 的流量采集技术。相比其它的流量采集工具,Net Flow 的流量采集技术具有配置方便,费用低,占用资源小的优点。分析了Net Flow 交换技术采集网络流量信息的实现原理。并从计算机网络的网络层和传输层2个方面,讨论了Net Flow 网络流量采集技术在网络信息安全方面的相关应用。 关键词: 流量采集; Net Flow ; 网络攻击 中图分类号: TP 393.06文献标识码: A 文章编号:167124431(2009)2320155204 N et work Flux Collection T echnique B ase on N etFlow and Its Application M EN G Xiao 2bei (Computer Center ,Wuhan University ,Wuhan 430072,China ) Abstract : This paper proposes the network flux collection technique based on net flow according to practical requirements in the field of monitoring the status of computer https://www.360docs.net/doc/4c12947400.html,pared to other flux collection tools ,Net Flow has advantages of con 2venient configuration ,low cost and small occupied resources.This paper analyses the principle of realization of Net Flow ex 2change technique collecting network flux information.Then both from the network layer and transport layer ,the paper discuss 2es some relevant applications of Net Flow network flux collection technique using in network information security areas. K ey w ords : flux collection ; Net Flow ; network attack 收稿日期:2009207209. 作者简介:孟晓蓓(19572),女,高级实验师.E 2mail :meng1025@https://www.360docs.net/doc/4c12947400.html, 随着Internet 和Intranet 的发展,网络用户、接入设备日益增长,对计算机网络的安全运行产生了压力。因此,计算机网络状况的实时监控的工作,显得十分必要。计算机网络状况的实时监控的一个重要环节,就是网络上的数据流量进行统计和分析。由于各种各样的应用对网络带宽的需求越来越高,传统的网络流量统计和数据采集方式开销大、对数据传输延时的影响大,已经不能满足现在的需求,因此,需要一种新的流量统计技术来适应现在的网络环境。Net Flow 技术正是这样的能适应新环境的流量采集方法。 1 网络流量采集的特点和方法 理想的数据采集方式应该具备以下一些特点[1]: 1)不影响数据流转发的速度 在整个数据流的采集过程中,不能有明显影响数据流转发速度的状况发生。如果在数据采集的过程中,数据流转发的速度明显下降,不能真实地反映网络流量状况,这违背数据采集的根本目的。 2)占用资源小 对数据流进行采集的过程中,可能需要在路由器(交换机)中进行流量统计,并且储存所
关于ip route-cache flow 和netflow
利用ip route-cache flow这个接口配置命令，可以为IP路由启用NetFlow交换，为了禁用NetFlow交换，可以利用该命令的“no”格式进行。 ip route-cache flow no ip route-cache flow 句法描述 该命令没有变量或关键词 默认情况 禁用 命令模式 接口配置模式 操作要点 该命令第一次出现时是在Cisco IOS 11.1版中。 NetFlow交换是一个高性能的网络层交换路径。作为其交换功能的一部分，它还可以获取丰富的统计信息。这些统计信息包括：用户、协议、端口和服务类型等数据，这些信息用途很广，可以用来进行网络分析和规划，还可以进行记费、结帐等。为了输出NetFlow数据，可以利用ip flow-export这个全局配置命令进行。 对于所有的接口类型，IP数据或IP封装的数据都支持NetFlow交换，但ATM LANE封装不支持NetFlow交换。当在接口上使用多个输入访问控制列表时，ISL/VLAN、ATM、帧中继封装不支持NetFlow交换。 网络层上的常规交换中，每个进入的数据包都要单独处理，利用一系列函数去检查访问列表、获取记帐数据、交换该数据包。而在NetFlow交换中，如果已经标识了信息流，而且对信息流中第一个数据包已进行了访问列表处理，那么后面所有的数据包都作为信息流的一部分，在面向连接的基础上进行处理，这样就绕过了访问列表的检查，进而依次对数据包进行交换和获取统计信息。 NetFlow 被标识为源头和目的地之间的一个单向的数据包流，而源头和目的地都定义了网络层的IP地址和传输层的端口号。特别地，一个信息流（flow）被标识成下列字段的组合：·源头IP地址 ·目的地IP地址
Netflow网络流量分析手册
Netflow网络流量 分析手册 作者：聂晓亮（毛蛋哥）
目录 一、作者简介 (4) 二、为什么会有这本书 (5) 三、流量分析原理 (6) (一)原始流量分析方式 (6) (二)Netflow分析方式 (6) 四、流量采样 (8) (一)在网络设备上开启Netflow功能 (8) (二)网络设备不支持Netflow (9) 1.部署方式 (9) 2.安装Fprobe (11) 3.启动Fprobe (11) 4.镜像流量至Fprobe服务器 (12) 5.检测是否收到Netflow数据 (12) 五、部署服务器 (13) (一)硬件需求 (13) (二)安装FreeBSD (13) (三)安装Nfsen (14) 1.安装apache22 (14) 2.安装php5 (14) 3.安装nfsen (15) (四)安装PortTracker (15)
(五)访问Nfsen (16) 六、抓贼攻略 (18) (一)了解网络运行状况 (18) (二)什么协议吞了带宽 (22) (三)抓出罪魁祸首 (25) 七、感谢 (30)
一、作者简介 本书作者聂晓亮，网名毛蛋哥。2004 年毕业于北京联合大学信息工程学院，热 爱网络相关知识及摄影，机缘巧合参加了 Cisco认证培训，并获得了一些成绩。本 书写于2008年10月，作者目前状态工 作较为舒适，故有空闲时间完成此书。 聂晓亮（毛蛋哥）拥有自己的Blog及Wiki空间，其中记录了作者的工作、生活、学习。作者希望通过此书以及Blog、Wiki同全世界的网络爱好者分享其知识与快乐。 聂晓亮（毛蛋哥）的Blog：https://www.360docs.net/doc/4c12947400.html, 聂晓亮（毛蛋哥）的Wiki：https://www.360docs.net/doc/4c12947400.html, 欢迎交流：pharaohnie@https://www.360docs.net/doc/4c12947400.html,
流量分析新贵-NetFlow
流量分析新贵:NetFlow https://www.360docs.net/doc/4c12947400.html,/networks/ 2006年09月29日15：54 来源：厂商稿件作者:东软:姚伟栋字号：小 | 大 【文章摘要】IP网络承载能力与所提供的应用业务规模向来都是相辅相成的，一方面IP网络的建设将给新应用技术的推广提供有效的实施平台，另一方面应用业务也会随着自身系统发展需要而对现有IP网络提出更高的资源需求，从而推动IP网络基础建设进入新的建设周期。 IP网络承载能力与所提供的应用业务规模向来都是相辅相成的，一方面IP网络的建设将给新应用技术的推广提供有效的实施平台，另一方面应用业务也会随着自身系统发展需要而对现有IP网络提出更高的资源需求，从而推动IP网络基础建设进入新的建设周期。在这种类似于“鸡生蛋、蛋生鸡”的逻辑悖论中，另外一个问题却是毋庸置疑的凸现了出来，那就是如何把应用业务与其所占用的IP资源(如带宽)清晰、准确的对应起来，如何保证有限的IP资源能够被合理应用的到主要利润业务中。 以NetFlow为代表的Flow技术正是为响应这种挑战而出现的新型解决途径。 什么是Flow 在最开始，Flow是网络设备厂商为了在网元设备内部提高路由转发速度而引入的一个技术概念，其本意是将高CPU消耗的路由表软件查询匹配作业部分转移到硬件实现的快速转发模块上(如Cisco的CEF模式)。在这种功能模式中，数据包将通过几个给定的特征定义归并到特定的集合中，这个集合就是Flow。每个Flow的第一个数据包除了促使该Flow记录的产生以外，还要驱动网元三层模块完成路由查询并将查询结果同期放入Flow记录中，而该Flow集合的后续数据包将直接在Flow的已有记录中获得路由转发信息，从而提高了网元设备的路由转发效率。 作为网元设备内部路由机制优化的副产物，Flow记录能够提供传统SNMP MIB无法比拟的丰富信息，因此Flow数据被广泛用于高端网络流量测量技术的支撑，以提供网络监控、流量图式分析、应用业务定位、网络规划、快速排错、安全分析(如DDOS)、域间记帐等数据挖掘功能。 相对于会话(“Session”)而言，“Flow”具备更细致的标识特征，在传统的TCP/IP五元组的基础上增加了一些新的域值，至少包括以下几个字段： -源IP地址 -目的IP地址 -源端口 -目的端口 -IP层协议类型
NETFLOW技术介绍
1. 流量流向监测技术 1.1 概述 传统的网络流量监测技术的局限性 SNMP采集端口的数据主要是在网元层用来监控网络流量和设备的性能，而且SNMP采集的数据是基于端口的，无法提供端到端的准确的流量信息，因此对流向的统计手段不明确。 利用RMON探针对运营商网络进行流量和流向管理可以部分弥补SNMP的技术局限性，其业务分析和协议分析功能较强。但是，采用RMON探针建设的流量监测系统也有处理性能不足和难以在大型网络普遍部署的局限性。 提出新的流量监测技术 为克服现有网管系统对网络流量和流向分析功能的技术局限性，运营商迫切需要寻找一种功能丰富、成熟稳定的新技术，对现有管理系统中流量信息的采集和分析方式进行改造和升级。新的流量信息采集和分析技术应具备对运营商的运行网络影响小、无需对网络拓扑进行改变就能平滑升级的技术特征，既可以对网络中各个链路的带宽使用率进行统计，又可以对每条链路上不同类型业务的流量和流向进行分析和统计。 本文主要介绍应用广泛的Cisco NetFlow技术、华为Netstream技术、Sflow 、Cflowd 和IPFIX 以及支持上述流监测技术的厂家和设备情况。 1.2 相关厂家及设备
2Netflow 2.1 流原理 netflow 的信息单元是flow。flow是一个单向的带有唯一标识字节组的传输流。基本的标识为：source-IP-address, source-port, destination-IP-address, destination-port, IP-protocol, TOS, input interface ID。当路由器接收到一个没有flow入口的数据包时，一个flow的结构将被初始化以保存其状态信息如：交换的字节数、IP地址、端口、自治区域等。随后所有满足这个flow结构的数据包都将增加flow结构的字节计数和包计数，直至这个flow中止并输出。 Netflow功能是在一个路由器内独立完成，它不涉及路由器之间的任何连接设置协议，也不要求对数据包本身或其它任何网络设备进行任何外部修改。Netflow交换中要创建一个信息高速缓存，第一个数据包到来时，路由器利用标准的快速交换处理信息包，同时生成一个Netflow高速缓存，随后到来的数据包即可以依据高速缓存信息被交换，对于所有活动信息流，在Netflow高速缓存中保留相应的信息流信息。当一定时间内没有相应的数据包通过，则结束这个数据流的交换和统计，并释放高速缓存，数据输出的条件在后续部分描述。 在netflow中到期的flow被绑在UDP数据报中发出。在V5的版本中最多30个flow记录，V1中25个记录，V8中28个记录。至少每秒钟发一次flow。
Netflow技术白皮书
烽火网络Netflow技术白皮书 目录 烽火网络NETFLOW技术白皮书 (1) 1.概述 (1) 2.参考标准 (1) 3.技术介绍 (2) 3.1. 常用术语 (2) 3.2. Netflow的应用场合 (2) 4.系统容量 (2) 5.配置命令 (3) 5.1. 全局配置命令 (3) 5.2. 执行命令 (3) 5.3. DEBUG命令 (3) 6.组网应用 (4) 7.故障分析 (5) 1. 概述 随着Internet应用的蓬勃发展，企业可及时的将分散与世界各地的有用资源统筹串连起来，所有林林总总的网络活动，无不显示着网络已成功的成为资讯来源以及电子商务的作业平台。由于图形、广播、给视频科技越来越普及，网络的资料约每天成长一倍，获取网络效率的提升并不乐观，网络的带宽，网站服务器的性能，同时间上网的人数，某些特殊事件造成网络的拥塞等，这些都会影响到网络流畅与否。使用者期望得到有效率及快速的使用，但常因为连线时间不稳或反应时间慢，因而令使用者感到失望。因此网络对外的连接品质和网络性能受到很大冲击，在此期间，已迫切的需要能够评估构建一个可满足目前需求、同时要兼顾未来的成长空间的网络环境。此时，可利用路由器的监视功能（Netflow）来 收集网络的带宽使用信息，从获得的流量数据中可以获取以下信息：(1)何种网络协议是流量的瓶颈所在；（2）满足使用者对网络的需求，提高客户满意度；（3）通过网络应用服务的使用者的IP进行排名，查看是否有无不同的使用；（4）获得内部流量和外部流量的对比，来了解网络的使用状况和未来的发展方向。 2. 参考标准 ? NetFlow Services Solutions Guide，Cisco 2001
NetFlow学习笔记
NetFlow是一种数据交换方式。Netflow提供网络流量的会话级视图，记录下每个TCP/IP事务的信息。也许它不能象tcpdump那样提供网络流量的完整记录，但是当汇集起来时，它更加易于管理和易读。Netflow由Cisco创造。 工作原理：NetFlow利用标准的交换模式处理数据流的第一个IP包数据，生成NetFlow缓存，随后同样的数据基于缓存信息在同一个数据流中进行传输，不再匹配相关的访问控制等策略，NetFlow缓存同时包含了随后数据流的统计信息。NetFlow有两个核心的组件：NetFlow缓存，存储IP流信息；NetFlow的数据导出或传输机制，NetFlow利用此机制将数据发送到网络管理采集器。 概念：一个NetFlow流定义为在一个源IP地址和目的IP地址间传输的单向数据包流，且所有数据包具有共同的传输层源、目的端口号。 确定Flow的标识：SIP+DIP+SPORT+DPORT +Layer 3 protocol type + TOS byte() + Router or switch interface 数据采集格式 NFC(Cisco NetFlow Collector) 可以定制多种NetFlow数据采集格式，下例为NFC2.0采集的一种流量数据实例，本文的分析都基于这种格式。 61.*.*.68|61.*.*.195|64917|Others|9|13|4528|135|6|4|192|1 数据中各字段的含义如下： 源地址|目的地址|源自治域|目的自治域|流入接口号|流出接口号|源端口|目的端口|协议 类型|包数量|字节数|流数量 cache缓存空间
solarwinds 9.5 +Netflow anaylzer 3.5 manual
Solarwinds9.5+Netflow Analyzer 3.5部署与使用 本文概览 1如何使用9.5监控和分析网络流量 2.如何在CISCO设备上配置Netflow Mornitor 3.如何使用Netflow Analyzer 3.5插件（主件必须是Solarwinds9.5,个版本有相应不同的Netflow插件） （一）如何使用9.5监控网络流量 Solarwinds9.5部署前，首先需要安装SQL SERVER 2005 并且打上SP1补丁 安装过程就不详细描述了，“下一步”到底。配置有问题请谷歌 Solarwinds信息分析使用web管理+application应用结合的方式 主要组件有System Manager 、Orion Web Console、Report Write、Alert Manager 、Netflow Web Console(需安装Netflow插件) （一）Orion Web Console： 使用WEB的方式直观的获取信息数据、图表、图形 a.登陆并添加一个节点
b.进入console页面-- 点击admin --点击Add a Node添加节点 c.输入节点的IP地址，输入Community String，这个是你在被管理设备中设定的SNMP 团体名 建议用一串复杂的符号不要用Public因为默认的public比较通用，不安全，按Validate SNMP进行验证（XX.XX.XX.XX举例） d.选择需要监控的项目-下一步
e.下一步完成。 现在我们看到我们前面添加的设备已经运行
可以查看运行及使用情况，如：网卡利用率，磁盘容量
CISCO系列路由器交换机NETFLOW配置
CISCO系列路由器交换机NETFLOW配置 1、config全局状态下配置netflow版本号： (config)#ip flow-export version 5 此命令将netflow配置为版本5。 本程序暂时只支持netflow版本V1、V5、V6。 2、config全局状态下配置netflow服务器地址和端口号： (config)#ip flow-export destination xxx.xxx.xxx.xxx 55888 其中，xxx.xxx.xxx.xxx为netflow服务器地址，即运行netflow版流量监视程序主机的IP地址，55888为服务端口号。 3、在Cisco系列路由器交换机每个接口上（例如interface fastethernet0/0；interface fastethernet0/1等）配置： (config-if)#ip route-cache flow 4、Config全局状态下设置时区 (config)#clock timezone Beijing 8 此命令配置为北京时间，+8时区。 5、enable状态下设置日期时间 #clock set 17:05:00 6 aug 2003 此命令配置为2003年8月6日17时05分00秒。 注重：要先配时区，后设置日期时间。同时接收netflow报文的计算机也要配置成相应的时区。有的Cisco机型掉电后，需重新设置日期和时间。 ********************************************************************* **************************** Netflow 配置实例 1、在全局模式下配置 以治理员身份登陆路由器，执行如下操作进行Netflow配置。
NETFLOW技术介绍
1. 流量流向监测技术 1.1概述 传统的网络流量监测技术的局限性 SNMP采集端口的数据主要是在网元层用来监控网络流量和设备的性能，而且SNMP采集的数据是基于端口的，无法提供端到端的准确的流量信息，因此对流向的统计手段不明确。 利用RMON探针对运营商网络进行流量和流向管理可以部分弥补SNMP的技术局限性，其业务分析和协议分析功能较强。但是，采用RMON探针建设的流量监测系统也有处理性能不足和难以在大型网络普遍部署的局限性。 提出新的流量监测技术 为克服现有网管系统对网络流量和流向分析功能的技术局限性，运营商迫切需要寻找一种功能丰富、成熟稳定的新技术，对现有管理系统中流量信息的采集和分析方式进行改造和升级。新的流量信息采集和分析技术应具备对运营商的运行网络影响小、无需对网络拓扑进行改变就能平滑升级的技术特征，既可以对网络中各个链路的带宽使用率进行统计，又可以对每条链路上不同类型业务的流量和流向进行分析和统计。 本文主要介绍应用广泛的Cisco NetFlow技术、华为 Netstream技术、Sflow 、Cflowd 和IPFIX 以及支持上述流监测技术的厂家和设备情况。
1.2相关厂家及设备
2Netflow 2.1流原理 netflow 的信息单元是flow。flow是一个单向的带有唯一标识字节组的传输流。基本的标识为：source-IP-address, source-port, destination-IP-address, destination-port, IP-protocol, TOS, input interface ID。当路由器接收到一个没有flow入口的数据包时，一个flow的结构将被初始化以保存其状态信息如：交换的字节数、IP地址、端口、自治区域等。随后所有满足这个flow结构的数据包都将增加flow结构的字节计数和包计数，直至这个flow中止并输出。 Netflow功能是在一个路由器内独立完成，它不涉及路由器之间的任何连接设
cisco netflow 部署说明
1 NETFLOW支持设备： Cisco 800, 1700, 2600 Yes Cisco 1800, 2800, 3800 Yes Cisco 4500 Yes Cisco 6500 Yes Cisco7200, 7300, 7500 Yes Cisco 7600 Yes Cisco 10000, 12000, CRS-1 Yes Cisco 2900, 3500, 3660, 3750 No netflow是ios平台技术，也就是说路由器全系列都支持，而交换机平台则依赖于IOS版本和支持硬件，例如 Cisco 2900, 3500, 3660, 3750就不支持 我们关注交换网络核心设备： 6500/7600 系列： 1 启动netflowSwitch(config)# mls netflow 2 启动netflow 的双向流量 Switch(config)# mls flow ip destination-source 后面可接其他参数 3、进入VLAN，启动接口Netflow（如果在物理接口上其3层，则直接进入物理接口） Switch(config)# interface vlan 5 Switch(config-if)# ip flow-export ingress-----此处为ingress 可以配置engress 依赖ios版本 Switch(config-if)# ip route-cache flow 4 配置Netflow的数据源，如果没有配置Loopback的接口，可以采用物理
接口，建议配置Loopback接口Switch(config)# ip flow-export source loopback 0 5 配置统计信息的输出目的，即采集服务器的ip和监听端口 (config)#ip flow-export 10.1.200.201 9991 7. 配置输出版本，目前可支持版本1和5 (config)#ip flow-export version 5 下面为参考命令： Switch# show mls nde一般看到都是Netflow Data Export disabled 这说明Netflow都没有起来。 参看Cisco 《Configuring NetFlow Data Export》PDf文档，默认是Disabled的 启动NDE发送以及发送版本Switch(config)# mls nde sender [version {5 | 7}] 如果只输入mls nde sender 系统默认启用的是版本7，如果需要版本5，则mls nde sender version 5 ，目前版本能配的是5或7，这两个版本WEB均能出现正常的数据。对于Cisco IOS 12.17以下版本的交换机，只有版本7。 参考部分用户反映netflow网管机器，没有收到数据包，可参考上面命令酌情配置，未必有效 4500 系列： 1 配置Netflow的数据源，如果没有配置Loopback的接口，可以采用物理接口，建议配置Loopback接口Switch(config)# ip flow-export source loopback 0 2 配置统计信息的输出目的，即采集服务器的ip和监听端口 (config)#ip flow-export 10.1.200.201 9991 3. 配置输出版本，目前可支持版本1和5 (config)#ip flow-export version 5 4. 设置路由器中flow cache的过期时限，建议按照以下配置：活动连接的时限为1分钟（即活动的连接每隔1分钟发送该连接的数据流量统计信息），非活动连接的时限为10秒钟。 (config)#ip flow-cache time active 1 (config)#ip flow-cache time inactive 10 (config)#ip flow-cache active-timeout 30 5部分Cisco4500就不支持，也就是它不能在某个Interface配置打开
netflow学习笔记
netflow学习笔记 安装环境 注意：netflow服务需要消耗大量的cpu资源，所以尽可能的多分配cpu资源 操作系统：windows 2008 r2 软件名称：ManageEngine_NetFlowAnalyzer_9861 安装步骤，只需下一步下一步即可，默认自带的数据库是postgres，可选择自行安装sqlserver netflow设备配置 需要上防火墙和路由器设备进行参数配置（需要防火墙和路由器口令） 服务监听端口：9996 web访问端口：8080 实体router配置： a、在全局模式下配置：以管理员身份登陆路由器，执行如下操作进行Netflow配置；router#configure terminal router(config)#ip flow-export destination 10.182.15.247 9966 router(config)#ip flow-export source loopback 0 router(config)#ip flow-export version 5 router(config)#ip flow-cache timeout active 1 router(config)#snmp-server ifindex persist b、在端口配置模式下配置 router#configure terminal router(config)#interface FastEthernet 0/0 router(config-if)#ip route-cache flow router(config-if)#exit c.验证命令 show ip flow export 显示当前Netflow的配置。 show ip cache verbose flow 显示当前活动数据流概要，设备输出了多少Netflow数据。web界面控制台 安装完发现设备后可以通过web界面的控制台来操作，安装完首页如图：
NetFlow还是sFlow
NetFlow还是sFlow？ 大多数网络管理员将流量分析列入他们的10大职责清单当中，但他们并没有太多地使用数据包分析器。这是NetFlow和sFlow带来的好处，可以在无须部署探测器的情况下提供他们通常寻找的大多数信息。事实上，当前可利用SNMP管理的交换机和路由器大多数都支持NetFlow或sFlow当中的一种。但同时也出现了一个问题：NetFlow和sFlow两种监测技术哪个更好？毕竟，目前多数网络厂商的设备只支持其中一种技术。 NetFlow流行v5 “支持NetFlow提供更好的网络可见性依然是我们广域数据服务战略的组成部分。”——Riverbed Technology公司产品营销副总裁Alan Saldich NetFlow（或者名为NetStream、IPFIX或Jflow的变种）最初是由思科公司开发的一种专有技术，它被应用在思科的互联网操作系统（IOS）中，目前部署最多的版本是v5。不过，v7和v9正在变得越来越普及。 最近，Internet工程任务组发布了一项叫做“IP Flow Information eXport （IPFIX）”的标准，这项标准基于NetFlow v9的数据输出格式。支持NetFlow 的厂商包括思科、Enterasys Networks、Juniper Networks、Nortel、Riverstone Networks (已被Lucent收购)、Riverbed、Packeteer以及其他许多厂商。 NetFlow是路由器用来跟踪每个开启NetFlow功能接口上的所有进入会话的技术。它根据7个关键标准分析数据包，如果两个包在所有7个判断标准上都匹
各品牌网络设备SNMP及NetFlow配置集
一、JUNIPER设备 1.Snmp的配置 set system static-host-mapping E450 inet 192.168.1.45 set system syslog user * any emergency set system syslog host E450 any any set system syslog host 192.168.1.251 any any set snmp community net123 authorization read-write set snmp community net123 clients 192.168.1.251 set snmp community net123 clients 192.168.1.251 set snmp community net123 clients 0.0.0.0/0 set snmp trap-group
NETFLOW技术介绍
N E T F L O W技术介绍-标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII
1. 流量流向监测技术 1.1概述 传统的网络流量监测技术的局限性 SNMP采集端口的数据主要是在网元层用来监控网络流量和设备的性能，而且SNMP 采集的数据是基于端口的，无法提供端到端的准确的流量信息，因此对流向的统计手段不明确。 利用RMON探针对运营商网络进行流量和流向管理可以部分弥补SNMP的技术局限性，其业务分析和协议分析功能较强。但是，采用RMON探针建设的流量监测系统也有处理性能不足和难以在大型网络普遍部署的局限性。 提出新的流量监测技术 为克服现有网管系统对网络流量和流向分析功能的技术局限性，运营商迫切需要寻找一种功能丰富、成熟稳定的新技术，对现有管理系统中流量信息的采集和分析方式进行改造和升级。新的流量信息采集和分析技术应具备对运营商的运行网络影响小、无需对网络拓扑进行改变就能平滑升级的技术特征，既可以对网络中各个链路的带宽使用率进行统计，又可以对每条链路上不同类型业务的流量和流向进行分析和统计。 本文主要介绍应用广泛的Cisco NetFlow技术、华为 Netstream技术、Sflow 、Cflowd 和IPFIX 以及支持上述流监测技术的厂家和设备情况。 1.2相关厂家及设备
2Netflow 2.1流原理 netflow 的信息单元是flow。flow是一个单向的带有唯一标识字节组的传输流。基本的标识为：source-IP-address, source-port, destination-IP-address, destination-port, IP-protocol, TOS, input interface ID。当路由器接收到一个没有flow入口的数据包时，一个flow的结构将被初始化以保存其状态信息如：交换的字节数、IP地址、端口、自治区域等。随后所有满足这个flow结构的数据包都将增加flow结构的字节计数和包计数，直至这个flow中止并输出。 Netflow功能是在一个路由器内独立完成，它不涉及路由器之间的任何连接设置协议，也不要求对数据包本身或其它任何网络设备进行任何外部修改。Netflow交换中要创建一个信息高速缓存，第一个数据包到来时，路由器利用标准的快速交换处理信息包，同时生成一个Netflow高速缓存，随后到来的数据包即可以依据高速缓存信息被交换，对于所有活动信息流，在Netflow高速缓