Definition Was ist NetFlow?

Anbieter zum Thema

ICP Deutschland GmbH

NetFlow ist ein ursprünglich von Cisco entwickeltes und mittlerweile standardisiertes Protokoll, mit dem sich der Datenverkehr von Routern und Layer-3-Switches in Form von IP-Flows erfassen und auswerten lässt. Informationen zu den Flows werden auf den Geräten gesammelt, über das Netzwerk an Kollektoren gesendet und anschließend analysiert.

NetFlow wurde ursprünglich von Cisco entwickelt. Heute ist es in der Version 9 ist als offener Standard im RFC 3954 spezifiziert. Es handelt sich um ein Protokoll zur Erfassung und Auswertung des Datenverkehrs von Routern oder Layer-3-Switches in Form von IP-Flows. Die Daten werden auf kompatiblen Geräten erfasst, gesammelt, verdichtet und über das IP-Netz an Kollektoren weitergeleitet. Von dort aus lassen sich die übermittelten Daten zu Analysezwecken mit spezieller Software auf vielfältige Art weiterverarbeiten.

Das Protokoll wurde zu Überwachungs- und Analysezwecken des Verkehrs in IP-Netzen entwickelt und hat sich als eine Art De-facto-Standard im Netzwerkumfeld etabliert. Im Vergleich zu SNMP (Simple Network Management Protocol) bietet es wesentlich tiefere Einblicke in die IP-Verkehrsströme verschiedener Datenquellen und Datenempfänger eines Netzwerks. Es lassen sich detaillierte Erkenntnisse bezüglich der Datenflüsse, Bandbreiten und Datenvolumen des Netzwerkverkehrs gewinnen.

Typische Anwendungsbereiche sind die Kapazitätsplanung, die Netzüberwachung, die Verkehrsanalyse, die Anwendungsüberwachung oder die Fehleranalyse. Zahlreiche Hersteller unterstützen das Protokoll oder bieten eigene kompatible Protokolle wie jFlow von Juniper, sFlow von Netgear, cFlow von Alcatel-Lucent oder Netstream von Huawei.

Abgrenzung zu SNMP

Auch das Simple Network Management Protocol (SNMP) ist ein Protokoll zur Messung des Datenverkehrs und zur Überwachung von Netzkomponenten. Wie bei NetFlow handelt es sich auch hier um ein passives Messverfahren, dass ohne aktive Messprobes in einem Netzwerk auskommt. Die Netzkomponenten selbst erfassen und sammeln die Daten und stellen sie über das Netzwerk zentralen Komponenten zur Auswertung zur Verfügung. Allerdings bietet SNMP nur wenig Einblick in die tatsächlichen Verkehrsströme eines Netzwerks und dessen IP-Flows. SMTP erfasst und bündelt dagegen lokale Statistiken wie Interface-Statistiken und -Auslastungen.

Funktionsweise und Komponenten von NetFlow

Um NetFlow zu nutzen und Netze Flow-basiert zu analysieren, kommen mehrere Komponenten zum Einsatz. Diese Komponenten sind:

• Flow-Agenten

• Flow-Kollektoren

• Flow-Analyseanwendungen

Aufgabe der Flow-Agenten ist es, die Daten-Flows zu erfassen, lokal zu sammeln und sie an einen Flow-Kollektor zu übertragen. In der Regel handelt es sich bei Flow-Agenten um Router, Firewalls oder Layer-3-Switches, deren Betriebssystem direkt mit NetFlow kompatibel ist oder auf denen ein kompatibler Agent installiert ist. Dieser Agent ist in der Lage, den Datenverkehr des Geräts hinsichtlich der verschiedenen Flows zu untersuchen und Informationen zu den einzelnen Flows zu sammeln. Ein Flow ist definiert als eine Gruppe von IP-Datenpaketen, bei denen bestimmte Attribute gleich sind. In der Regel handelt es sich bei diesen Attributen um folgende sieben Merkmale eines empfangenen IP-Datenpakets:

• die empfangende Schnittstelle des Layer-3-Geräts

• die Absender-IP-Adresse

• die Ziel-IP-Adresse

• der UDP- oder TCP-Quellport

• der UDP- oder TCP-Zielport

• die IP-Protokoll-ID

• der Servicetyp des IP-Pakets (DiffServ-Wert)

Alle Pakete, bei denen diese sieben Merkmale identisch sind, werden als einzelner Flow behandelt. Der Router sammelt und erfasst zu jedem identifizierten Flow weitere Daten wie Anzahl der Pakete und Bytes, Zeitstempel oder AS-Nummern und verdichtet die Informationen zu einem Datensatz in seinem NetFlow-Cache.

Für jeden erkannten Flow existiert im Cache ein eigener Eintrag. Werden neue Flows identifiziert, kommen neue Einträge hinzu. Viele Layer-3-Geräte bieten die Möglichkeit, direkt per Kommandozeilenbefehl auf diesen Cache zuzugreifen und Informationen abzufragen. Von Zeit zu Zeit werden Daten aus dem Cache automatisiert exportiert und an einen Flow-Kollektor gesendet. Der Kollektor empfängt diese Daten, speichert sie und nimmt eine Vorverarbeitung wie das Aggregieren oder Formatieren der Daten vor.

Der Kollektor benötigt eine entsprechende Speicherkapazität, um alle für spätere Analysen relevanten Daten vorhalten zu können. In größeren Netzinstallationen kommen häufig mehrere hierarchisch organisierte Kollektoren zum Einsatz. An der Spitze steht ein zentraler Kollektor mit großer Datenbank, der die Daten den Analyseanwendungen in der gewünschten Form bereitstellt. Eine Analyseanwendung greift auf diese Daten zu und übernimmt die letztendliche Auswertung und statistische sowie visuelle Aufbereitung der Flow-Informationen. Die Analyseanwendungen sind in der Regel mandantenfähig und ermöglichen den Nutzern nur Einblick in die für sie freigegebenen Daten.

Analyse- und Anwendungsmöglichkeiten

Mit NetFlow lassen sich die Verkehrsflüsse in einem IP-Netz analysieren. Die bereitgestellten Informationen sind für verschiedene Anwendungen nutzbar. Typische Anwendungsmöglichkeiten sind:

• Netzwerküberwachung

• Visualisierung von Top-N-Reports der verkehrsreichsten Sender, Empfänger, Anwendungen, Protokolle, Verkehrsklassen oder Interfaces

• Visualisierung von Datenströmen zwischen Zentralen und Filialen oder Servern und Clients

• Netzwerkplanung, Kapazitätsplanung und Bandbreitenabschätzung

• Fehlersuche und Fehlerdiagnose

• Sicherheitsanalysen und Erkennen von Angriffen oder Missbrauch aufgrund von Anomalien im Netzwerkverkehr

• forensische Auswertung von Sicherheitsvorfällen

• Anwendungsüberwachung

Vor- und Nachteile von NetFlow

Mit NetFlow lassen sich detaillierte Analysen der Verkehrsströme in einem IP-Netz vornehmen. Die Flow-basierte Erfassung und Sammlung der Daten bietet wesentlich genauere Einblicke in das Verkehrsverhalten eines Netzwerks als das beispielsweise mit SNMP möglich ist. Gegenüber Analyseverfahren auf Paketebene ist der Aufwand aber deutlich reduziert. Die Verdichtung der Flow-Daten erlaubt zudem eine Langzeitspeicherung der Daten und historische Auswertungen oder Trendbetrachtungen. Zahlreiche Hersteller und Endgeräte unterstützen das standardisierte Protokoll und erlauben den herstellerübergreifenden Einsatz des Protokolls.

Als Nachteil lässt sich aufführen, dass die Flow-basierte Datensammlung auf den Netzwerkgeräten eine gewisse Last verursacht, die in der Dimensionierung beachtet werden muss. Um die Verkehrsströme tatsächlich detailliert zu analysieren, sind genügend Kollektoren mit ausreichend Speicherkapazität im Netzwerk vorzusehen, was zu erhöhtem Kosten- und Managementaufwand führen kann.

(ID:46367751)