Definition

Was ist NetFlow?

| Autor / Redakteur: Stefan Luber / Andreas Donner

Die wichtigsten IT-Fachbegriffe verständlich erklärt.
Die wichtigsten IT-Fachbegriffe verständlich erklärt. (Bild: © aga7ta - stock.adobe.com)

NetFlow ist ein ursprünglich von Cisco entwickeltes und mittlerweile standardisiertes Protokoll, mit dem sich der Datenverkehr von Routern und Layer-3-Switches in Form von IP-Flows erfassen und auswerten lässt. Informationen zu den Flows werden auf den Geräten gesammelt, über das Netzwerk an Kollektoren gesendet und anschließend analysiert.

NetFlow wurde ursprünglich von Cisco entwickelt. Heute ist es in der Version 9 ist als offener Standard im RFC 3954 spezifiziert. Es handelt sich um ein Protokoll zur Erfassung und Auswertung des Datenverkehrs von Routern oder Layer-3-Switches in Form von IP-Flows. Die Daten werden auf kompatiblen Geräten erfasst, gesammelt, verdichtet und über das IP-Netz an Kollektoren weitergeleitet. Von dort aus lassen sich die übermittelten Daten zu Analysezwecken mit spezieller Software auf vielfältige Art weiterverarbeiten.

Das Protokoll wurde zu Überwachungs- und Analysezwecken des Verkehrs in IP-Netzen entwickelt und hat sich als eine Art De-facto-Standard im Netzwerkumfeld etabliert. Im Vergleich zu SNMP (Simple Network Management Protocol) bietet es wesentlich tiefere Einblicke in die IP-Verkehrsströme verschiedener Datenquellen und Datenempfänger eines Netzwerks. Es lassen sich detaillierte Erkenntnisse bezüglich der Datenflüsse, Bandbreiten und Datenvolumen des Netzwerkverkehrs gewinnen.

Typische Anwendungsbereiche sind die Kapazitätsplanung, die Netzüberwachung, die Verkehrsanalyse, die Anwendungsüberwachung oder die Fehleranalyse. Zahlreiche Hersteller unterstützen das Protokoll oder bieten eigene kompatible Protokolle wie jFlow von Juniper, sFlow von Netgear, cFlow von Alcatel-Lucent oder Netstream von Huawei.

Abgrenzung zu SNMP

Auch das Simple Network Management Protocol (SNMP) ist ein Protokoll zur Messung des Datenverkehrs und zur Überwachung von Netzkomponenten. Wie bei NetFlow handelt es sich auch hier um ein passives Messverfahren, dass ohne aktive Messprobes in einem Netzwerk auskommt. Die Netzkomponenten selbst erfassen und sammeln die Daten und stellen sie über das Netzwerk zentralen Komponenten zur Auswertung zur Verfügung. Allerdings bietet SNMP nur wenig Einblick in die tatsächlichen Verkehrsströme eines Netzwerks und dessen IP-Flows. SMTP erfasst und bündelt dagegen lokale Statistiken wie Interface-Statistiken und -Auslastungen.

Funktionsweise und Komponenten von NetFlow

Um NetFlow zu nutzen und Netze Flow-basiert zu analysieren, kommen mehrere Komponenten zum Einsatz. Diese Komponenten sind:

  • Flow-Agenten
  • Flow-Kollektoren
  • Flow-Analyseanwendungen

Aufgabe der Flow-Agenten ist es, die Daten-Flows zu erfassen, lokal zu sammeln und sie an einen Flow-Kollektor zu übertragen. In der Regel handelt es sich bei Flow-Agenten um Router, Firewalls oder Layer-3-Switches, deren Betriebssystem direkt mit NetFlow kompatibel ist oder auf denen ein kompatibler Agent installiert ist. Dieser Agent ist in der Lage, den Datenverkehr des Geräts hinsichtlich der verschiedenen Flows zu untersuchen und Informationen zu den einzelnen Flows zu sammeln. Ein Flow ist definiert als eine Gruppe von IP-Datenpaketen, bei denen bestimmte Attribute gleich sind. In der Regel handelt es sich bei diesen Attributen um folgende sieben Merkmale eines empfangenen IP-Datenpakets:

  • die empfangende Schnittstelle des Layer-3-Geräts
  • die Absender-IP-Adresse
  • die Ziel-IP-Adresse
  • der UDP- oder TCP-Quellport
  • der UDP- oder TCP-Zielport
  • die IP-Protokoll-ID
  • der Servicetyp des IP-Pakets (DiffServ-Wert)

Alle Pakete, bei denen diese sieben Merkmale identisch sind, werden als einzelner Flow behandelt. Der Router sammelt und erfasst zu jedem identifizierten Flow weitere Daten wie Anzahl der Pakete und Bytes, Zeitstempel oder AS-Nummern und verdichtet die Informationen zu einem Datensatz in seinem NetFlow-Cache.

Für jeden erkannten Flow existiert im Cache ein eigener Eintrag. Werden neue Flows identifiziert, kommen neue Einträge hinzu. Viele Layer-3-Geräte bieten die Möglichkeit, direkt per Kommandozeilenbefehl auf diesen Cache zuzugreifen und Informationen abzufragen. Von Zeit zu Zeit werden Daten aus dem Cache automatisiert exportiert und an einen Flow-Kollektor gesendet. Der Kollektor empfängt diese Daten, speichert sie und nimmt eine Vorverarbeitung wie das Aggregieren oder Formatieren der Daten vor.

Der Kollektor benötigt eine entsprechende Speicherkapazität, um alle für spätere Analysen relevanten Daten vorhalten zu können. In größeren Netzinstallationen kommen häufig mehrere hierarchisch organisierte Kollektoren zum Einsatz. An der Spitze steht ein zentraler Kollektor mit großer Datenbank, der die Daten den Analyseanwendungen in der gewünschten Form bereitstellt. Eine Analyseanwendung greift auf diese Daten zu und übernimmt die letztendliche Auswertung und statistische sowie visuelle Aufbereitung der Flow-Informationen. Die Analyseanwendungen sind in der Regel mandantenfähig und ermöglichen den Nutzern nur Einblick in die für sie freigegebenen Daten.

Analyse- und Anwendungsmöglichkeiten

Mit NetFlow lassen sich die Verkehrsflüsse in einem IP-Netz analysieren. Die bereitgestellten Informationen sind für verschiedene Anwendungen nutzbar. Typische Anwendungsmöglichkeiten sind:

  • Netzwerküberwachung
  • Visualisierung von Top-N-Reports der verkehrsreichsten Sender, Empfänger, Anwendungen, Protokolle, Verkehrsklassen oder Interfaces
  • Visualisierung von Datenströmen zwischen Zentralen und Filialen oder Servern und Clients
  • Netzwerkplanung, Kapazitätsplanung und Bandbreitenabschätzung
  • Fehlersuche und Fehlerdiagnose
  • Sicherheitsanalysen und Erkennen von Angriffen oder Missbrauch aufgrund von Anomalien im Netzwerkverkehr
  • forensische Auswertung von Sicherheitsvorfällen
  • Anwendungsüberwachung

Vor- und Nachteile von NetFlow

Mit NetFlow lassen sich detaillierte Analysen der Verkehrsströme in einem IP-Netz vornehmen. Die Flow-basierte Erfassung und Sammlung der Daten bietet wesentlich genauere Einblicke in das Verkehrsverhalten eines Netzwerks als das beispielsweise mit SNMP möglich ist. Gegenüber Analyseverfahren auf Paketebene ist der Aufwand aber deutlich reduziert. Die Verdichtung der Flow-Daten erlaubt zudem eine Langzeitspeicherung der Daten und historische Auswertungen oder Trendbetrachtungen. Zahlreiche Hersteller und Endgeräte unterstützen das standardisierte Protokoll und erlauben den herstellerübergreifenden Einsatz des Protokolls.

Als Nachteil lässt sich aufführen, dass die Flow-basierte Datensammlung auf den Netzwerkgeräten eine gewisse Last verursacht, die in der Dimensionierung beachtet werden muss. Um die Verkehrsströme tatsächlich detailliert zu analysieren, sind genügend Kollektoren mit ausreichend Speicherkapazität im Netzwerk vorzusehen, was zu erhöhtem Kosten- und Managementaufwand führen kann.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Diese Probleme von Traceroute sollten Sie kennen

Netzwerkdiagnose mit Traceroute unter der Lupe – Teil 2

Diese Probleme von Traceroute sollten Sie kennen

Die Möglichkeiten von Traceroute – dem bei vielen Admins sehr beliebten Tools für die Analyse des Netzwerk-Verhaltens – sind leider begrenzt. Neben den bereits in Teil 1 dieser Miniserie genannten Schwachstellen (siehe Verlinkung in den ersten Absätzen) schmälern aber noch zwei weitere Aspekte die Tauglichkeit des Monitoring-Werkzeugs. lesen

Advanced Monitoring Features im SD-WAN

Mehr Transparenz im Weitverkehrs-Datennetz

Advanced Monitoring Features im SD-WAN

Die intelligenten Analyse- und Routingmechanismen im SD-WAN ermöglichen eine detaillierte Identifikation von WAN-Verkehrsströmen im Kundennetz. Welche Erkenntnisse können Kunden hieraus gewinnen und wie kann dadurch der WAN-Betrieb optimiert werden? lesen

SolarWinds unterstützt SDN-Monitoring

Aktualisierung der Orion-Plattform

SolarWinds unterstützt SDN-Monitoring

SolarWinds hat eigenen Angaben zufolge auf die Verbreitung von SDN – insbesondere Cisco ACI – reagiert. Der Network Performance Monitor könne nun logische Komponenten einer SDN-Umgebung, u.a. APICs, Mandanten, Anwendungsprofile, Endpunktgruppen und physische Einheiten, überwachen. lesen

PRTG versus Nagios

Kommerzielle Monitoring-Software gegen Open Source

PRTG versus Nagios

Fällt eine Komponente im Unternehmens-Netzwerk aus oder verlässt die zuvor vom IT-Profi definierten Parametergrenzen, protokolliert eine Monitoring-Software diese Ereignisse und beginnt im Idealfall mit automatisierten Gegenmaßnahmen oder der Aktivierung einer Benachrichtigungskette. Doch welche Lösung ist die beste? Wir haben das kostenpflichtige Paessler PRTG dem kostenfreien Nagios gegenübergestellt. lesen

ETA ersetzt im Datacenter DPI

Encrypted Traffic Analytics vs. Deep Packet Inspection

ETA ersetzt im Datacenter DPI

Die Ära der Netzwerküberwachung auf der Basis von Deep Packet Inspection neigt sich in Rechenzentren ihrem Ende zu. Encrypted Traffic Analytics, kurz ETA, füllt diese Lücke. Um die Gunst der IT-Entscheider buhlen neben dem Platzhirsch Cisco mit „Stealthwatch Enterprise“ auch zwei aufstrebende Spezialisten für das Maschinelle Lernen. lesen

Mehr Monitoringkapazität und Insights für Cisco Nexus

SolarWinds hat NPM, IPAM, NTA und VNQM überarbeitet

Mehr Monitoringkapazität und Insights für Cisco Nexus

SolarWinds aktualisiert sein Portfolio für das Netzwerkmanagement. Damit vervierfacht der Anbieter die Überwachungskapazität, liefert automatisch generierte sowie kontextsensitive Karten und führt die Software Network Insight für Cisco Nexus ein. lesen

Auf was es beim Monitoring ankommt

Zielführende Netzwerk- und Systemüberwachung beginnt im Kopf

Auf was es beim Monitoring ankommt

Eine effektive Kombination aus Überwachung und Alarmierung versorgt IT-Experten bei der Netzwerkverwaltung optimal mit Informationen. Doch ein gutes Monitoring stellt sich nicht zwangsläufig ein, nur weil neueste Tools und Techniken zum Einsatz kommen. Selbst die besten Produkte, Methoden und Verfahren nützen nichts, wenn die Denk- und Herangehensweise nicht passt. lesen

PFX entkoppelt Packet Broker von Hardware

Netzwerk- und Service-Performance-Monitoring mit x86-Servern

PFX entkoppelt Packet Broker von Hardware

Unter der Bezeichnung „nGenius Packet Flow eXtender“ (PFX) liefert Netscout eine Software-basierte Lösung zur Paketaufbereitung (Packet Conditioning). Die läuft auf verschiedenen x86-Server-Plattformen und soll bis zur Hälfte weniger kosten als Angebote der Konkurrenz. lesen

Wie Leistungsdaten Teil der Sicherheitsstrategie werden

Performance Monitoring und Security

Wie Leistungsdaten Teil der Sicherheitsstrategie werden

Das Erfassen von Leistungsmessdaten im Rechenzentrum ist ein wichtiger Schritt zu mehr Sicherheit. Durch Abweichungen vom „Normalzustand“ können Sicherheitsrisiken schneller identifiziert werden. Cyberangriffe sind eine dauerhafte Bedrohung für IT-Systeme, deshalb ist die Verwendung von Performance-Messdaten in Rechenzentren als Grundlage für eine umfassende Sicherheitsrichtlinie extrem wichtig. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46367751 / Definitionen)