IsarFlow Whitepaper Netflow Umgebung & IsarFlow Vorraussetzungen Im vorliegenden Dokument sind alle Vorraussetzungen beschrieben um IsarFlow erfolgreich implementieren zu können. 1 Betriebssystem... 2 2 Kommunikations-Ports... 2 3 SNMP Zugriff... 3 4 Unterstützte Netflow Export Formate... 4 5 Unterstützte Netzwerk Hardware... 5 6 Konfiguration... 6 7 Ermitteln der Anzahl Flows pro Tag... 9 Whitepaper - IsarFlow Vorraussetzungen 2007 IsarNet SWS GmbH Seite 1
1 Betriebssystem Als Betriebssystem wird SuSE Linux Enterprise Server 9.0 eingesetzt. Die IsarFlow Installations-CD s umfassen nicht nur die Anwendung selbst, sondern auch das zugehörige (gehärtete) Betriebssystem und alle zusätzlich notwendigen Anwendungen. 2 Kommunikations-Ports Bei der Implementierung von IsarFlow in einem Netzwerk sind Firewalls zu berücksichtigen speziell wenn es sich um eine Installation von verteilten Servern handelt. In der folgenden Darstellung sind die Ports aufgeführt, die freigeschalten sein müssen, falls Firewalls zwischen den Kommunikations-Partnern (Anwender, Portal, Analyzer, Router/L3- Switch) vorhanden sind. Der UDP-Port den Router/L3-Switch zum Export verwenden, kann sowohl auf Router/L3-Switch als auch auf den Analyzern flexibel eingestellt werden. In der Regel wird UDP Port 9995 verwendet. Die restliche Kommunikation basiert auf TCP. Abbildungen : Single-Server Installation (oben), Distributed-Server Installation (unten) Whitepaper - IsarFlow Vorraussetzungen 2007 IsarNet SWS GmbH Seite 2
3 SNMP Zugriff Grundsätzlich basieren IsarFlow Analysen auf Daten, die via Netflow exportiert werden. Die exportierten Netflow-Daten laufen alle in einer Datenbank (auch wenn die Datenbank verteilt ist) zusammen. 2 1 3 4 Netflow Data Exports Häufig möchten Anwender nur einzelne Interfaces auswerten. Um nur die gesuchten Interfaces auszufiltern zu können, benötigt IsarFlow weitere Angaben von den exportierenden Routern: die SNMP Interface Indizes (in der obigen Abbildung blau gekennzeichnet). Router halten für jede session fest, über welches Interface die Pakete reinkommen und auf welchen Interfaces sie den Router verlassen. In den zugehörigen Netflow Cache Einträgen finden sich dazu die SNMP Indizes für incoming und outgoing Interface. User kennen Interfaces zwar nach Namen, aber nicht deren Index. Die Indizes sind über das Command Line Interface am Router in vielen Fällen nicht abrufbar. Bei Cisco ist dies erst ab IOS 12.3 möglich : router#show snmp mib ifmib ifindex Ethernet 0/0 Ethernet0/0: Ifindex = 1 Damit ein Anwender von IsarFlow einen ihm bekannten Interface-Namen auswählen kann, und IsarFlow den in den Daten erfassten, passenden SNMP Index für die Auswertung verwendet, müssen beide Informationen bekannt sein und einander zugeordnet werden. Hierfür benötigt IsarFlow SNMP Lese-Zugriff auf den Router / L3-Switch. Whitepaper - IsarFlow Vorraussetzungen 2007 IsarNet SWS GmbH Seite 3
Folgende SNMP-Variablen werden gepollt : iso.org.dot.internet.mgmt.mib-2.system (1.3.6.1.2.1.1) NrOfInt IfDscr IfName IfIndx IfOpSt IfSpeed IfAlias sysuptime oid:.1.3.6.1.2.1.2.1.0 oid:.1.3.6.1.2.1.2.2.1.2.0 oid:.1.3.6.1.2.1.31.1.1.1.1.0 oid:.1.3.6.1.2.1.2.2.1.1.0 oid:.1.3.6.1.2.1.2.2.1.8.0 oid:.1.3.6.1.2.1.2.2.1.5.0 oid:.1.3.6.1.2.1.31.1.1.1.18.0 oid:.1.3.6.1.2.1.1.3.0 Wenn die (SNMP basierte) class based QoS Analyse ebenfalls verwendet wird, werden folgende OID s zusätzlich gepollt : sysuptime:c ifnumber:c ifdescr:s ifspeed:s ipadentifindex:s ifname:s ifalias:s LastConfigChange:c oid:.1.3.6.1.2.1.1.3 oid:.1.3.6.1.2.1.2.1 oid:.1.3.6.1.2.1.2.2.1.2 oid:.1.3.6.1.2.1.2.2.1.5 oid:.1.3.6.1.2.1.4.20.1.2 oid:.1.3.6.1.2.1.31.1.1.1.1 oid:.1.3.6.1.2.1.31.1.1.1.18 oid:.1.3.6.1.4.1.9.9.43.1.1.1 Die komplette cbqos-mib (subtree.1.3.6.1.4.1.9.9.166) SNMP RO konfigurieren SNMP-ACL falls vorhanden für die IsarFlow-IP-Adresse freischalten snmp-server ifindex persist sollte konfiguriert sein Ohne dieses statement können angelegte Views durch reloads oder neue Interfaces im Router fehlerhafte Zuweisungen zu den SNMP Interface-Indizes erhalten. 4 Unterstützte Netflow Export Formate Version 1 (obsolet) Version 5 (Standard) Version 7 (Cat-OS Catalyst) Version 8 Whitepaper - IsarFlow Vorraussetzungen 2007 IsarNet SWS GmbH Seite 4
5 Unterstützte Netzwerk Hardware Cisco Systems Cisco IOS Software Release Version 1000/ 800 11.1CA, 11.1CC 11.2 11.3 12.0 12.1 12.2 12.3 1400/ 1600/ 1700 2500/ 2600 3600 3700 4500/ 4700 AS5300/ 5800 7200/ 7500/ Si Catalyst 4500 Catalyst 5000/6500/ 7600 ESR 10000 GSR 12000 Enterasys Enterasys Routing Software Supported Netflow Version Supported Plattforms 10.0.0.0 v5 XP-2400, XP-2100, XP-8000, XP-8600, ER16, 6SSRM-02, 5SSRM-02 5.31.17 v5 N-Series Produkte Whitepaper - IsarFlow Vorraussetzungen 2007 IsarNet SWS GmbH Seite 5
Extreme Networks Supported Software ExtremeWare 6.2.2b134 oder höher ExtremeWare 7.1.0b48 oder höher Supported Plattforms Summit 1i Summit 5i Summit 7i Summit 48i Summit 48si Alpine 380x Black Diamond 68xx 6 Konfiguration Cisco Systems Netflow wird pro Interface eingeschalten : interface Serial0/0 ip route-cache flow Global wird definiert zu welcher IP-Adresse (=Kollektor) und auf welchem UDP-Port exportiert wird : ip flow-export destination <IP-collector> <port> Das Format der exportierten Daten wird ebenfalls global definiert : ip flow-export version <1 or 5> IsarFlow bereitet die Daten in 5-Minuten Intervallen auf. Damit die Daten konsistent bleiben, müssen die flows aktiver Sessions ebenfalls alle 5 Minuten exportiert werden : ip flow-cache timeout active <1.. 60> Whitepaper - IsarFlow Vorraussetzungen 2007 IsarNet SWS GmbH Seite 6
Optional kann man ein bestimmtes Interface als Quelle der Exporte definieren (Loopbacks sind z.b. Leichter zu identifizieren) : ip flow-export source <interface> Cat-OS spezifische Konfiguration set mls ne enable set mls nde <collector-ip> <udp_port> set mls nde version 7 set mls flow full Syntax für Catalyst 6xxx mit native IOS ip flow-cache timeout active 5 mls flow ip interface-full mls nde sender version 5 mls nde interface mls aging long 300 mls aging normal 30 ip flow-export source <interface> ip flow-export version 5 ip flow-export destination <ip address> <udp port> Whitepaper - IsarFlow Vorraussetzungen 2007 IsarNet SWS GmbH Seite 7
Enterasys Netflow aktivieren : netflow enable Interfaces die Netflow-Daten sammeln : netflow set ports <port-list> all-ports Definition der IP-Adresse des Kollektors (Ziel der Exporte) : netflow set collector <ip> UDP Port für die Netflow Exporte festlegen : netflow set flow-destination-port <port> Den active timer setzen : netflow set interval <min> Die Speichergröße des netflow cache ändern : netflow set memory <size> Extreme Networks Netflow aktivieren : enable flowstats Interfaces die Netflow-Daten sammeln : enable flowstats ports <portlist> Definition der IP-Adresse des Kollektors (Ziel der Exporte) und des UDP-Ports : config flowstats export <group> add [<ip-add> <hostname>] port <udp-port> Die Quelle (Interface) der Exporte definieren : config flowstats source <ip_add> Den active timer setzen : config flowstats timeout <minutes> Whitepaper - IsarFlow Vorraussetzungen 2007 IsarNet SWS GmbH Seite 8
7 Ermitteln der Anzahl Flows pro Tag A) IsarFlow Teststellung Ein vorkonfigurierter Server wird für einen Zeitraum von 2 Wochen in das Netz integriert und die Datenbank anschliessend analysiert B) Command Line Netflow wird konfiguriert, als wäre ein Analyzer im Netz. Die Exporte werden ins Leere geschickt. Mit dem Kommando show ip flow export kann man dann sehen, wieviele flows exportiert wurden. Zusätzlich muss der Zeitraum festgehalten werden, wie lange Netflow auf dem Router aktiviert war. router#sh ip flow export Flow export v5 is enabled for main cache Exporting flows to 10.0.0.200 (9995) Exporting using source interface Loopback0 Version 5 flow records 621544 flows exported in 43485 udp datagrams 0 flows failed due to lack of export packet 0 export packets were sent up to process level 0 export packets were dropped due to no fib 0 export packets were dropped due to adjacency issues 0 export packets were dropped due to fragmentation failures 0 export packets were dropped due to encapsulation fixup failures router# C) Cisco Netflow Collector Sollten sich Cisco Kollektoren bereits im Einsatz befinden, so können Sie die Anzahl flows über das user interface des Kollektors abrufen : $NFC_DIR/bin/NFUI MAIN MENU 1. Threads 2. Filters 3. Protocols 4. Source Ports 5. Destination Ports 6. UDP Ports 7. Source ASNs 8. Destination ASNs 9. Source(s) IP Address(es) 10. Application Statistics 11. Dump Configuration h. Help q. Quit Enter Item Number [1-11, (h)elp, (q)uit] : 10. Retrieve application stats FlowCollector has been up since Wed May 20 13:56:49 1999 Port Packets rcvd(wrap) Records(wrap) Discarded Missed Recs(wrap) ---- ------------------ ------------- --------- ----------------- 9995 0(0) 0(0) 0 0(0) 9996 70748(0) 2122440(0) 0 0(0) Whitepaper - IsarFlow Vorraussetzungen 2007 IsarNet SWS GmbH Seite 9
IsarNet Tel. 07000 ISARNET Software Solution GmbH Fax. 089 97007 200 Terminalstrasse Mitte 18 e-mail: isarflow@isarnet.de 85356 München http://www.isarnet.de http://www.isarflow.de Whitepaper - IsarFlow Vorraussetzungen 2007 IsarNet SWS GmbH Seite 10