NetFlow

El estándar NetFlow versión 5 de Cisco define un flujo como una secuencia unidireccional de paquetes que comparten siete valores que definen una clave única para el flujo: ^{[ 2 ]}

1. Interfaz de entrada ( SNMP ifIndex)
2. Dirección IP de origen
3. Dirección IP de destino
4. número de protocolo IP
5. Puerto de origen para UDP o TCP , 0 para otros protocolos.
6. Puerto de destino para UDP o TCP , tipo y código para ICMP , o 0 para otros protocolos.
7. Tipo de servicio IP

Tenga en cuenta que la interfaz de salida, el siguiente salto IP o los siguientes saltos BGP no forman parte de la clave y pueden no ser precisos si la ruta cambia antes de que expire el flujo o si el equilibrio de carga se realiza por paquete.

Esta definición de flujos también se utiliza para IPv6, y se utiliza una definición similar para los flujos MPLS y Ethernet .

Las implementaciones avanzadas de NetFlow o IPFIX, como Cisco Flexible NetFlow, permiten definir claves de flujo por el usuario.

Una salida típica de una herramienta de línea de comandos de NetFlow ( nfdumpen este caso) al imprimir los flujos almacenados puede verse así:

Fecha de inicio del flujo Duración Protocolo Dirección IP de origen:Puerto Dirección IP de destino:Puerto Paquetes Bytes Flujos 2010-09-01 00:00:00.459 0.000 UDP 127.0.0.1:24920 -> 192.168.0.1:22126 1 46 1 2010-09-01 00:00:00.363 0.000 UDP 192.168.0.1:22126 -> 127.0.0.1:24920 1 80 1

El enrutador generará un registro de flujo cuando determine que el flujo ha finalizado. Esto se logra mediante el envejecimiento del flujo: cuando el enrutador detecta tráfico nuevo para un flujo existente, reinicia el contador de envejecimiento. Asimismo, la finalización de una sesión TCP en un flujo TCP provoca que el enrutador declare el flujo como caducado. Los enrutadores también pueden configurarse para generar un registro de flujo a intervalos fijos, incluso si el flujo aún está en curso.

Un registro NetFlow puede contener una amplia variedad de información sobre el tráfico en un flujo determinado.

NetFlow versión 5 (una de las versiones más utilizadas, seguida de la versión 9) contiene lo siguiente:

• Índice de interfaz de entrada utilizado por SNMP (ifIndex en IF-MIB).
• Índice de interfaz de salida o cero si el paquete se descarta.
• Marcas de tiempo para el inicio y la finalización del flujo, en milisegundos desde el último arranque.
• Número de bytes y paquetes observados en el flujo
• Encabezados de capa 3 :
  • Direcciones IP de origen y destino
  • Tipo y código ICMP .
  • protocolo IP
  • Valor del tipo de servicio (ToS)
• Números de puerto de origen y destino para TCP, UDP, SCTP
• Para los flujos TCP, la unión de todos los indicadores TCP observados durante la vida del flujo.
• Información de enrutamiento de capa 3 :
  • Dirección IP del siguiente salto inmediato (no del siguiente salto BGP) a lo largo de la ruta hacia el destino.
  • Máscaras de IP de origen y destino (longitud de prefijo en la notación CIDR )

Para los flujos ICMP , el puerto de origen es cero y el campo del número de puerto de destino codifica el tipo y el código del mensaje ICMP (puerto = Tipo-ICMP * 256 + Código-ICMP) .

Los campos de número de sistema autónomo (AS) de origen y destino pueden indicar el AS de destino (último AS de la ruta AS) o el AS vecino inmediato (primer AS de la ruta AS), según la configuración del enrutador. Sin embargo, el número de AS será cero si la función no es compatible, la ruta es desconocida o no ha sido anunciada por BGP, o si se trata del AS local. No existe una forma explícita de distinguir entre estos casos.

NetFlow versión 9 puede incluir todos estos campos y opcionalmente puede incluir información adicional como etiquetas de conmutación de etiquetas multiprotocolo (MPLS) y direcciones y puertos IPv6 ,

Mediante el análisis de los datos de flujo, se puede obtener una imagen del flujo y el volumen de tráfico en una red. El formato de registro NetFlow ha evolucionado con el tiempo, de ahí la inclusión de números de versión. Cisco mantiene información detallada sobre los diferentes números de versión y la estructura de los paquetes para cada una.

NetFlow suele habilitarse por interfaz para limitar la carga en los componentes del enrutador involucrados en NetFlow, o para limitar la cantidad de registros NetFlow exportados.

NetFlow normalmente captura todos los paquetes recibidos por una interfaz IP de entrada, pero algunas implementaciones de NetFlow utilizan filtros IP para decidir si un paquete puede ser observado por NetFlow.

Algunas implementaciones de NetFlow también permiten la observación de paquetes en la interfaz IP de salida, pero esto debe usarse con cuidado: todos los flujos desde cualquier interfaz de entrada con NetFlow habilitado a cualquier interfaz con NetFlow habilitado podrían contarse dos veces.

El protocolo NetFlow estándar fue diseñado para procesar todos los paquetes IP en una interfaz. Sin embargo, en algunos entornos, como por ejemplo en las redes troncales de Internet, esto resultaba demasiado costoso debido al procesamiento adicional que requería cada paquete y a la gran cantidad de flujos simultáneos.

Así pues, Cisco introdujo NetFlow muestreado en el Cisco 12000 , y ahora se utiliza en todos los routers de gama alta que implementan NetFlow.

Solo se procesa un paquete de cada n , donde n , la frecuencia de muestreo, está determinada por la configuración del enrutador.

El proceso de selección exacto depende de la implementación:

• Un paquete cada n paquetes, en NetFlow determinista, como se usa en el Cisco 12000 .
• En el método Random Sampled NetFlow, utilizado en los routers Cisco modernos, se selecciona un paquete al azar en un intervalo de n paquetes.

Algunas implementaciones utilizan métodos más complejos para muestrear paquetes, como el muestreo por flujo en los switches Cisco Catalyst.

La frecuencia de muestreo suele ser la misma para todas las interfaces, pero en algunos enrutadores se puede ajustar por interfaz. Cuando se utiliza NetFlow muestreado, los registros de NetFlow deben ajustarse para tener en cuenta el efecto del muestreo; en particular, los volúmenes de tráfico se convierten en una estimación en lugar del volumen de flujo real medido.

La frecuencia de muestreo se indica en un campo de encabezado de NetFlow versión 5 (misma frecuencia de muestreo para todas las interfaces) o en los registros de opciones de NetFlow versión 9 (frecuencia de muestreo por interfaz).

NetFlow fue implementado inicialmente por Cisco y descrito en un documento informativo que no formaba parte de la vía de estandarización: RFC 3954 – Cisco Systems NetFlow Services Export Versión 9. El protocolo NetFlow ha sido reemplazado por el Internet Protocol Flow Information eXport ( IPFIX ). Basado en la implementación de NetFlow Versión 9, IPFIX forma parte de la vía de estandarización del IETF junto con RFC 5101 (obsoleto por RFC 7011), RFC 5102 (obsoleto por RFC 7012), etc., publicados en 2008.

Muchos proveedores, además de Cisco, ofrecen tecnología similar de monitorización del flujo de red. NetFlow es un nombre común en el ámbito de la monitorización del flujo, debido a la cuota de mercado dominante de Cisco en la industria de las redes. Se cree que NetFlow es una marca registrada de Cisco (aunque a marzo de 2012 no figuraba en el registro de marcas registradas de Cisco ^{[ 3 ]} ):

• Argus - Sistema de generación y utilización de registros de auditoría
• Jflow o cflowd para Juniper Networks
• NetStream para 3Com/HP
• NetStream para tecnologías Huawei
• Cflowd para Nokia
• Rflow para Ericsson
• AppFlow Citrix
• Los proveedores de sFlow incluyen: Alaxala , Alcatel Lucent , Allied Telesis , Arista Networks , Brocade , Cisco , Dell , D-Link , Enterasys , Extreme , F5 BIG-IP , Fortinet , Hewlett-Packard , Hitachi , Huawei , IBM , Juniper , LG-Ericsson , Mellanox , MRV , NEC , Netgear , Proxim Wireless , Quanta Computer , Vyatta , Telesoft, ZTE y ZyXEL ^{[ 4 ]}

Asimismo, la colección de software flow-tools ^{[ 5 ]} permite procesar y gestionar las exportaciones de NetFlow desde enrutadores Cisco y Juniper. ^{[ 6 ]}

Presentado con el lanzamiento de los productos Cisco ASA 5580, el registro de eventos de seguridad NetFlow utiliza campos y plantillas de NetFlow v9 para ofrecer telemetría de seguridad eficiente en entornos de alto rendimiento. El registro de eventos de seguridad NetFlow escala mejor que syslog, a la vez que ofrece el mismo nivel de detalle y granularidad en los eventos registrados.

La recopilación de flujos NetFlow mediante sondas NetFlow independientes es una alternativa a la recopilación de flujos desde enrutadores y conmutadores. Este enfoque puede superar algunas limitaciones de la monitorización de NetFlow basada en enrutadores. Las sondas se conectan de forma transparente al enlace monitorizado como un dispositivo pasivo mediante el puerto TAP o SPAN del dispositivo.

Históricamente, la monitorización de NetFlow es más fácil de implementar en una sonda dedicada que en un enrutador. Sin embargo, este enfoque también tiene algunos inconvenientes:

• Es necesario instalar sondas en cada enlace que deba ser observado, lo que genera costos adicionales de hardware, configuración y mantenimiento.
• Las sondas no informarán información separada sobre las interfaces de entrada y salida, como lo haría un informe de un enrutador.
• Es posible que las sondas tengan problemas para informar de forma fiable los campos de NetFlow relacionados con el enrutamiento, como los números AS o las máscaras IP , porque difícilmente se puede esperar que utilicen exactamente la misma información de enrutamiento que un enrutador.

La forma más sencilla de solucionar los inconvenientes mencionados es utilizar un dispositivo de captura de paquetes en línea, delante del enrutador, y capturar toda la salida de NetFlow. Este método permite almacenar grandes cantidades de datos de NetFlow (normalmente, datos de varios años) y no requiere la reconfiguración de la red.

La recopilación de datos NetFlow mediante sondas dedicadas es muy adecuada para la observación de enlaces críticos, mientras que NetFlow en los enrutadores proporciona una visión general del tráfico en toda la red que puede utilizarse para la planificación de la capacidad, la contabilidad, la supervisión del rendimiento y la seguridad.