中国电信集团系统集成

1、中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *1 1Netflow 要点介绍宫一鸣本文下载地点 http:/ Apr 22,2003中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *2 2First of All n This lecture is not a step-by-step guide, just focuses on the core concept.中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *3 3为什么需要netflow?n 路由器，交换机A在某种意义上是黑盒子n 管理员不知道黑盒子里面发生了什么 l黑盒子里面的数据都在干什么，谁发出的，到哪里 去，流量大小等等指标中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *4 4什么是netflow?n Netflow的作用l流量分析和监控 l根据流量计费 l网络加速 l用于安全分析中国电

2、信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *5 5什么是netflow?n 谁可以使用netflow n 使用netflow必须是CCNX、CCXE么？ lNo,你甚至可以不懂 路由！中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *6 6什么是netflow?n 理解netflow的关键 (core!)l问题 w 同一时刻 路由交换设备上的ip流量非常大且杂乱，怎么捕 获？ w 面向Flow! w 面向flow?中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *7 7什么是netflow?n 理解netflow的关键(core!) lFlow由7个因素构成(交换机可以略少) w Source IP address w Destination IP address w Source port number w Destination port number w Protocol type w Type of ser

3、vice (ToS) w Input interface. w 观察上面7个要素可以发现它们可以唯一的标识路由器上 的一个网络连接。中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *8 8什么是netflow?n 理解netflow的关键 (core!) l 例子，客户经过路由器向内部网络ssh登录 w Source IP address w Destination IP address w Source port number w Destination port number w Protocol type w Type of service (ToS) w Input interface. l 无论客户在整个ssh过程中做什么动作，工作时间长短，上面 的7个关键点保证了在整个过程中此路由器上这个网络连接是 可以唯一标识的。 l 面向Flow! 以flow为对象采集数据，如这个“flow”在通讯过程 的总字节数 ，使用的src/dst port, src/dst address等等。中国电信集团系统集成公司中国电信集团系统集

4、成公司 010-62256157 010-62256157* *9 9Netflow采集的数据内容 Source IP Address Destination IP Address Next Hop Address Source AS Number Dest. AS Number Source Prefix Mask Dest. Prefix Mask Input Interface Port Output Interface Port Type of Service TCP Flags Protocol Packet Count Byte Count Start Timestamp End Timestamp Source TCP/UDP Port Destination TCP/UDP PortUsageQoSTime of DayApplicationRouting and PeeringFrom/ToPort Utilization中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *1010Netflow 工作架构中国电

5、信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *1111使设备输出Netflow数据（Data Export）n 在路由器上配置 l在全局配置模式下： ip flow-export source Loopback0 ip flow-export version 5 ip flow-export destination 9995 ip flow-sampling-mode packet-interval 100 l端口配置模式下： winterface e1/0 wip route-cache flow sampled中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *1212Netflow数据收集工具n Netflow数据收集工具 lFlow collector （cisco的软件包）中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *1313Netflow数据分析工具n Netflow数据分析工具 lFlowAnaly

6、zer （cisco的软件包） w 读取flow collector的数据，个人感觉华而不实 lSo what is the best? w You brain! + unix tools(awk,sed,cat etc) 中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *1414Flow collectorn 软件的安装 l很简单，没什么技术含量，请参考软件readme. So.跳过！ ；）中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *1515Flow collector 处理流程图中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *1616filtern 什么是filterw Filter filterAw Filter filterBpermit permit nexthopnexthop 202.102.224.136 0.0.0.0 202.102.224.136 0.0.0.0deny deny ad

7、draddr 1.2.0.0 0.0.255.255 1.2.0.0 0.0.255.255permit permit addraddr 0.0.0.0 0.0.0.0 0.0.0.00.0.0.0中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *1717Aggregationn 什么是Aggregation ？ l是cisco公司定制好的对网络连接监控的内容 w 以DestPort这个Aggregation为例 w Key field: dstport w Value fields: packet count, byte count, flow count lDestPort这个Aggregation通俗的理解：这一段时刻 ，我的路由器上的数据包都发往了哪些tcp/udp端口 ？发到这些端口的数据的包数，字节大小，总流数 目是多少？ w 78|6367|557723|853 lFlowCollector Aggregation Schemes里面可以找到所 有的Aggregation中国电信集团系统集成公司中国电信集团系统集成

8、公司 010-62256157 010-62256157* *1818FlowCollector Aggregation Schemes中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *1919Flow collectorn 安装好的目录结构 l 注意红色标记中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *2020Flow collectorn Data 目录下 l存放的是输出的netflow记录文件 w （最有价值的记录内容就在这里！；） w /opt/CSCOnfc/Data/2003_04_21/202.102.224.1/DestPort 78|6367|557723|853 80|9836608|864296991|619219 81|8836|790568|433 82|5319|520273|385 83|2695|161981|130n Bin目录下 l./nfcollector status | show-tech | clean | start|stop all|nfcgw|collection中国电信集团系统集成公司中国电信集团系统集成公司 010-62256157 010-62256157* *2121Flow collectorn Config目录下 lnfconfig.file (core!)配置文件部分内容 w Thread routerport w Aggregation Destport w Period

《中国电信集团系统集成》由会员n****分享，可在线阅读，更多相关《中国电信集团系统集成》请在金锄头文库上搜索。