《中國電信集團(tuán)系統(tǒng)集成公司》由會員分享，可在線閱讀，更多相關(guān)《中國電信集團(tuán)系統(tǒng)集成公司（22頁珍藏版）》請在裝配圖網(wǎng)上搜索。
1、單擊此處編輯母版標(biāo)題樣式,單擊此處編輯母版文本樣式,第二級,第三級,第四級,第五級,Netflow 要點(diǎn)介紹,宮一鳴,本文下載地點(diǎn),http:/ 22,2003,First of All,This lecture is not a step-by-step guide,just focuses on the core concept.,為什么需要netflow?,路由器，交換機(jī)A在某種意義上是黑盒子,管理員不知道黑盒子里面發(fā)生了什么,黑盒子里面的數(shù)據(jù)都在干什么，誰發(fā)出的，到哪里去，流量大小等等指標(biāo),什么是netflow?,Netflow的作用,流量分析和監(jiān)控,根據(jù)流量計費(fèi),網(wǎng)絡(luò)加速,用于安全分
2、析,什么是netflow?,誰可以使用netflow,使用netflow必須是CCN,X,、CC,X,E么？,No,你甚至可以不懂 路由！,什么是netflow?,理解netflow的關(guān)鍵,(core!),問題,同一時刻 路由交換設(shè)備上的ip流量非常大且雜亂，怎么捕獲？,面向Flow!,面向flow?,什么是netflow?,理解netflow的關(guān)鍵,(core!),Flow由7個因素構(gòu)成,(交換機(jī)可以略少),Source IP address,Destination IP address,Source port number,Destination port number,Protocol
3、type,Type of service(ToS),Input interface.,觀察上面7個要素可以發(fā)現(xiàn)它們可以唯一的標(biāo)識路由器上的一個網(wǎng)絡(luò)連接。,什么是netflow?,理解netflow的關(guān)鍵,(core!),例子，客戶經(jīng)過路由器向內(nèi)部網(wǎng)絡(luò)ssh登錄,Source IP address,Destination IP address,Source port number,Destination port number,Protocol type,Type of service(ToS),Input interface.,無論客戶在整個ssh過程中做什么動作，工作時間長短，上面的7個關(guān)鍵
4、點(diǎn)保證了在整個過程中此路由器上這個網(wǎng)絡(luò)連接是可以唯一標(biāo)識的。,面向Flow!,以flow為對象采集數(shù)據(jù)，如這個“flow”在通訊過程的總字節(jié)數(shù)，使用的src/dst port,src/dst address等等。,Netflow采集的數(shù)據(jù)內(nèi)容,Source IP Address,Destination IP Address,Next Hop Address,Source AS Number,Dest.AS Number,Source Prefix Mask,Dest.Prefix Mask,Input Interface Port,Output Interface Port,Type of S
5、ervice,TCP Flags,Protocol,Packet Count,Byte Count,Start Timestamp,End Timestamp,Source TCP/UDP Port,Destination TCP/UDP Port,Usage,QoS,Time,of Day,Application,Routingand,Peering,From/To,Port,Utilization,Netflow 工作架構(gòu),使設(shè)備輸出Netflow數(shù)據(jù)（Data Export）,在路由器上配置,在全局配置模式下：,ip flow-export source Loopback0,ip flo
6、w-export version 5,ip flow-export destination 9995,ip flow-sampling-mode packet-interval 100,端口配置模式下：,interface e1/0,ip route-cache flow sampled,Netflow數(shù)據(jù)收集工具,Netflow數(shù)據(jù)收集工具,Flow collector,（cisco的軟件包）,Netflow數(shù)據(jù)分析工具,Netflow數(shù)據(jù)分析工具,FlowAnalyzer,（cisco的軟件包）,讀取flow collector的數(shù)據(jù)，個人感覺華而不實(shí),So what is the bes
7、t?,You brain!+unix tools(awk,sed,cat etc),Flow collector,軟件的安裝,很簡單，沒什么技術(shù)含量，請參考軟件readme.So.跳過?。唬?Flow collector 處理流程圖,filter,什么是filter,Filter filterA,Filter filterB,permit nexthop 202.102.224.136 0.0.0.0,deny addr 1.2.0.0 0.0.255.255,permit addr 0.0.0.0 0.0.0.0,Aggregation,什么是Aggregation？,是cisco公司定制好
8、的對網(wǎng)絡(luò)連接監(jiān)控的內(nèi)容,以DestPort這個Aggregation為例,Key field:dstport,Value fields:packet count,byte count,flow count,DestPort這個Aggregation通俗的理解：這一段時刻，我的路由器上的數(shù)據(jù)包都發(fā)往了哪些tcp/udp端口？發(fā)到這些端口的數(shù)據(jù)的包數(shù)，字節(jié)大小，總流數(shù)目是多少？,78|6367|557723|853,FlowCollector Aggregation Schemes里面可以找到所有的Aggregation,FlowCollector Aggregation Schemes,Flow
9、 collector,安裝好的目錄結(jié)構(gòu),注意紅色標(biāo)記,Flow collector,Data 目錄下,存放的是輸出的netflow記錄文件,（最有價值的記錄內(nèi)容就在這里?。唬?/opt/CSCOnfc/Data/2003_04_21/202.102.224.1/DestPort,78|6367|557723|853,80|9836608|864296991|619219,81|8836|790568|433,82|5319|520273|385,83|2695|161981|130,Bin目錄下,./nfcollector status|show-tech|clean|start|stop all|nfcgw|collection,Flow collector,Config目錄下,nfconfig.file,(core!),配置文件部分內(nèi)容,Thread routerport,Aggregation Destport,Period 5,Port 9995,State Active,DataSetPath/opt/CSCOnfc/Data,Compression No,Binary No,MaxUsage 500,This is the end of NETFLOW CORE lecture,
中國電信集團(tuán)系統(tǒng)集成公司
