Netflow

Netflow is een populair netwerkprotocol dat door Cisco is ontwikkeld voor het bewaken en registreren van verkeer dat een interface binnenkomt en verlaat. Het Netflow datagram bevat informatie zoals bron IP adressen, bestemming IP adressen, IP service type en IP Protocol.

Door Netflow te gebruiken als netwerkverkeersanalysator kunnen IT-professionals de bestemming, het volume, de herkomst en de netwerkpaden bepalen. Netflow is de voorloper van het Simple Network Management Protocol (SNMP), dat niet de kracht had om inzicht te geven in het gebruik van bandbreedte.

Hoe Netflow werkt

Netflow werkt met drie hoofdcomponenten: flow exporter, flow collector en flow analyzer.

De flow exporter is een netwerkapparaat dat flowinformatie verzamelt en deze exporteert naar een flow collector.

De flowverzamelaar is een apparaat dat geëxporteerde flowinformatie ontvangt van de flowexporteur.

Een stroomanalysator is een toepassing die de resulterende stroominformatie analyseert in het kader van metrieken zoals netwerkinbraak of verkeersprofilering.

Het proces van het genereren van Netflow-gegevens begint onmiddellijk nadat een pakket is ontvangen. Het apparaat scant onmiddellijk naar de aanwezigheid van de 5-tupel van het pakket in een tabel die recentelijk geziene flows bevat, bekend als flow cache.

Als de 5-tuple beschikbaar is, wordt de cache entry bijgewerkt met een pakketverhoging van één byte. In gevallen waarin de stroom ontbreekt in de cache, blijkt dat het pakket behoort tot een voorheen niet gedetecteerde stroom, zodat een nieuwe entry aan de tabel wordt toegevoegd. Het proces waarbij informatie wordt geëxporteerd naar de flowverzamelaar wordt flow expiratie genoemd.

Flow-expiratie vindt plaats in twee scenario’s, namelijk inactieve time-out en actieve time-out. Voor actieve time-outs geldt dat als de stroom enige tijd actief blijft, deze vervalt. Bij inactieve time-outs, als er enige tijd geen activiteit is, wordt aangenomen dat de stroom voltooid is en vervalt de stroom.

Nadat de flowverzamelaar de doorgestuurde flow entry heeft ontvangen, wordt deze doorgestuurd naar de flowanalyzer die deze analyseert en relevante inzichten genereert.

Waarom Netflow gebruiken?

Netflow heeft vele nuttige toepassingen, maar de belangrijkste zijn:

• Verbeterde zichtbaarheid van het netwerk
• Optimalisatie van bandbreedtegebruik en capaciteitsplanning
• QoS Parameter Validatie
• Verhoogd beveiligingsbewustzijn
• Mogelijk maken van Root Cause Diagnosis
• Identificeren van knelpunten die moeten worden opgelost
• Detectie van onbevoegd WAN-verkeer
• Maximaal gebruik van netwerkbronnen

Netflow nadelen

Hoewel NetFlow qua functionaliteit superieur is aan SNMP (Simple Network Management Protocol) en andere technologieën, heeft het twee belangrijke nadelen waarvan IT-professionals zich bewust moeten zijn. Niet alleen exporteren Cisco-apparaten met Netflow twee flows, maar ze hebben ook beperkte zichtbaarheid als het gaat om gerouteerd verkeer. Dit maakt uw netwerkbeheerders blind voor VLAN- en LAN-communicatie binnen de organisatie. Ook het risico van overbelasting van de infrastructuur kunt u niet tenietdoen.