Netflow

Netflow es un conocido protocolo de red desarrollado por Cisco para supervisar y registrar el tráfico que entra y sale de una interfaz. El datagrama Netflow contiene información como direcciones IP de origen, direcciones IP de destino, tipo de servicio IP y protocolo IP.

Utilizando Netflow como analizador de tráfico de red, los profesionales de TI pueden determinar el destino, el volumen, el origen y las rutas de red. Netflow es el predecesor del Protocolo simple de gestión de redes (SNMP), que carecía de la potencia necesaria para proporcionar información sobre el uso del ancho de banda.

Cómo funciona Netflow

Netflow funciona utilizando tres componentes principales: el exportador de flujo, el recolector de flujo y el analizador de flujo.

El exportador de flujo es un dispositivo de red que recopila información de flujo y la exporta a un recopilador de flujo.

El recopilador de flujo es un dispositivo o aparato que recibe la información de flujo exportada desde el exportador de flujo.

Un analizador de flujo es una aplicación que analiza la información de flujo resultante con el contexto de métricas como la intrusión en la red o la creación de perfiles de tráfico.

El proceso de generación de datos Netflow comienza inmediatamente después de la recepción de un paquete. El dispositivo busca inmediatamente la presencia de la 5-tupla del paquete en una tabla que contiene los flujos vistos recientemente, conocida como caché de flujos.

Si la 5-tupla está disponible, la entrada de la caché se actualiza con un incremento de paquete de un byte. En los casos en los que el flujo no aparece en la caché, esto indica que el paquete pertenece a un flujo no detectado previamente, por lo que se añade una nueva entrada a la tabla. El proceso por el que la información se exporta al colector de flujos se denomina expiración de flujos.

La caducidad de un flujo se consigue en dos escenarios: tiempo de espera inactivo y tiempo de espera activo. Para los tiempos de espera activos, si el flujo permanece activo durante algún tiempo, expira. En el caso de los tiempos de espera inactivos, si no hay actividad durante algún tiempo, se supone que el flujo se ha completado y, por lo tanto, expira.

Una vez que el recopilador de flujos recibe la entrada de flujo reenviada, la envía al analizador de flujos, que la analiza y genera información relevante.

¿Por qué utilizar Netflow?

Netflow tiene muchas aplicaciones beneficiosas, pero las principales incluyen:

• Mejora de la visibilidad de la red
• Optimización de la utilización del ancho de banda y planificación de la capacidad
• Validación de parámetros QoS
• Mayor conciencia de la seguridad
• Habilitación del diagnóstico de la causa raíz
• Identificación de cuellos de botella que necesitan solución
• Detección de tráfico WAN no autorizado
• Utilización máxima de los recursos de red

Inconvenientes de Netflow

A pesar de ser superior en términos de funcionalidad en comparación con el Protocolo simple de gestión de red (SNMP), y otras tecnologías, NetFlow tiene dos inconvenientes importantes que los profesionales de TI deben tener en cuenta. Los dispositivos Cisco habilitados para Netflow no sólo exportan dos flujos, sino que también tienen una visibilidad limitada cuando se trata de tráfico enrutado. Esto hace que los administradores de red no puedan ver las comunicaciones VLAN y LAN que existen dentro de la organización. El riesgo de sobrecarga de la infraestructura tampoco es algo que se pueda anular.