نظارت جریان به شما امکان می دهد عمیق تر بگردید و می تواند شامل منبع، مقصد، برنامه و سایر ویژگی ها باشد. این به شما امکان می‌دهد دلایل شلوغی را که برنامه‌ها از بیشترین منابع استفاده می‌کنند، الگوهای ترافیک غیرمعمول یا توانایی ارائه صورت‌حساب مبتنی بر استفاده را مشاهده کنید.
جریان شبکه چیست؟
به طور کلی، شما می توانید یک جریان شبکه را ترکیبی منحصر به فرد از آدرس IP مبدا و مقصد، پورت مبدا و مقصد و پروتکل در نظر بگیرید. استانداردهای مختلف جریان را به طور متفاوتی تعریف می کنند، و شما گزینه هایی در مورد نحوه تعریف جریان در شبکه خود دارید. هر زمان که یک دستگاه شبکه فعال NetFlow جریان جدیدی را ببیند، شروع به شمارش بسته ها و بایت ها می کند و این اطلاعات را برای جمع آوری، پردازش و تجزیه و تحلیل جمع می کند.
پروتکل های نظارت بر جریان زیادی وجود دارد، اما یکی از معروف ترین آنها NetFlow است. سیسکو در ابتدا NetFlow را توسعه داد، اما پایه و اساس بسیاری از استانداردهای صنعتی شده است. از آن زمان تاکنون، ویرایش‌ها و استانداردهای دیگری بر روی NetFlow ساخته شده‌اند.
پیاده سازی NetFlow به سه جزء اصلی نیاز دارد:
- صادرکننده جریان: یک دستگاه شبکه ساده مانند سوئیچ یا روتر. صادرکنندگان جریان بسته ها را در جریان جمع آوری می کنند و آنها را به یک کلکتور صادر می کنند.
- Stream Collector: معمولاً سروری است که مسئول دریافت، ذخیره و آماده سازی داده ها برای تجزیه و تحلیل است.
- Analysis Application: نرم افزاری است که داده های جریان را تجزیه و تحلیل می کند و به شما امکان مشاهده آن ها را می دهد.
تاریخچه NetFlow و تفاوت های نسخه
نسخه های زیادی از NetFlow وجود دارد، اما مهم ترین چیزی که باید بدانید 5 و 9 است، زیرا آنها پرکاربردترین نسخه ها هستند. NetFlow در ابتدا به عنوان یک فناوری سوئیچینگ بسته برای روترهای سیسکو توسعه داده شد که در IOS 11 در سال 1996 پیاده سازی شد. قرار بود این یک پیشرفت نسبت به سوئیچینگ سریع سیسکو باشد. Cisco Express Forwarding برای سوئیچینگ بسته مناسب تر بود و NetFlow v1 پایه و اساس پروتکل های نظارت بر جریان امروزی شد. نسخه 1 محدود به IPv4 بود، بدون ماسک شبکه IP یا شماره سیستم خودمختار (ASN). نسخه 1 NetFlow اکنون منسوخ شده است. نسخه های 2 تا 4 نسخه های داخلی سیسکو بودند که هرگز منتشر نشدند.
NetFlow نسخه 5
NetFlow v5 قدیمی ترین نسخه ای است که هنوز رایج است و هنوز هم پر استفاده ترین نسخه است. NetFlow v5 دارای آرایش ثابتی از فیلدها است که می توان از آنها استفاده کرد و v5 فقط با IPv4 و فقط با جریان های ترافیک ورودی کار می کند. NetFlow v5 نمی تواند ویژگی هایی را که ردیابی می کند تغییر دهد. همچنین نمی تواند رکوردهای مبتنی بر جریان های L2 را صادر کند و برخی از ویژگی های L2 مانند برچسب های MPLS را ندارد.
فرمت رکورد جریان NetFlow نسخه 5:
– آدرس IP مبدا و مقصد
– آدرس IP روتر بعدی هاپ
– شاخص SNMP رابط ورودی و خروجی
– تعداد بسته های موجود در جریان
– تعداد لایه 3 بایت در بسته های جریان
– زمان کارکرد سیستم در شروع و زمانی که آخرین بسته از جریان دریافت شد
– شماره پورت TCP/UDP منبع و مقصد
– تجمعی OR پرچم های TCP
– نوع پروتکل IP (به عنوان مثال TCP = 6؛ UDP = 17)
– نوع خدمات IP (ToS)
– شماره سیستم خودمختار مبدا و مقصد، اعم از مبدأ یا همتا
– بیت های ماسک پیشوند آدرس مبدا و مقصد
NetFlow v6 یکی دیگر از نسخه های قدیمی است و v7 تقریباً مشابه v5 است. نسخه 7 یک فیلد روتر منبع اضافه می کند و عمدتاً در سوئیچ های قدیمی Cisco Catalyst استفاده می شود. NetFlow v8 نسخه غیرمعمول دیگری است که امکان تجمع در چندین فرم را فراهم می کند، اما فقط برای اطلاعاتی که قبلاً در رکوردهای v5 وجود دارد.
NetFlow نسخه 9
NetFlow v9 به جای داشتن مجموعه ای ثابت از فیلدها که باید مانند نسخه 5 استفاده شوند، به قالب مبتنی بر الگو منتقل شد. بسته به نوع داده ای که می خواهید ضبط کنید، می توانید از الگوهای مختلفی استفاده کنید که ویژگی های مختلف را ردیابی می کند.
این اجازه می دهد تا NetFlow v9 بسیار انعطاف پذیرتر باشد، به همین دلیل است که معمولاً به آن Flexible NetFlow می گویند. نسخه 9 را می توان برای هر چیزی که نسخه 5 می توان برای آن استفاده کرد استفاده کرد، اما همچنین می تواند برای egress، IPv6، MPLS و IPv4 با BGP next-hop استفاده شود. NetFlow v9 همچنین به عنوان پایه استاندارد صنعتی فعلی IPFIX عمل کرد. v10 یک نسخه NetFlow نیست، اما در عوض برای شناسایی IPFIX استفاده می شود.
IPFIX
IPFIX مبتنی بر NetFlow v9 است و از یک رویکرد مبتنی بر الگوی انعطاف پذیر مشابه استفاده می کند. IPFIX یک استاندارد IETF است که در RFC توضیح داده شده است [7011](https://tools.ietf.org/html/rfc7011) و [7012](https://tools.ietf.org/html/rfc7012). اگرچه IPFIX به شدت مبتنی بر NetFlow است، نسخه 10 هیچ ارتباطی با NetFlow ندارد. NetFlow و تغییرات آن هنوز به طور گسترده استفاده می شود، اما IPFIX اکنون یک استاندارد صنعتی باز است.
sFlow و گزینه های دیگر
یکی دیگر از نسخه های محبوب نظارت بر جریان شبکه، sFlow یا NetFlow نمونه است. از آنجایی که NetFlow هر جریانی را در شبکه شما نظارت می کند، در زمان بارگذاری بالا، این می تواند تأثیر منفی بر عملکرد داشته باشد. یک گزینه محبوب برای جلوگیری از این امر، نمونه برداری از بخشی از ترافیک شبکه است. این تأثیر بر عملکرد را محدود می کند، با جنبه منفی آن این است که همه داده ها ضبط نمی شوند.
sFlow هیچ ایده ای در مورد جریان ها یا تجمیع بسته ها ندارد، اما در عوض اجازه صادرات بسته های داده و شمارنده های رابط را می دهد که با آخرین نسخه های IPFIX نیز امکان پذیر است. در حالی که پروتکل های صادرات جریان معمولی مانند NetFlow از نرخ نمونه برداری 1:1 استفاده می کنند، این معمولاً با sFlow امکان پذیر نیست. sFlow برای گرفتن نمونه تصادفی از ترافیک شبکه طراحی شده است و آن را برای نظارت در سطح شبکه مقیاس پذیرتر می کند. اگر می‌خواهید همه داده‌ها را روی چند رابط کلیدی بگیرید، NetFlow بهتر عمل می‌کند، sFlow ممکن است برای گرفتن نمونه‌ای از کل ترافیک در همه اینترفیس‌ها مناسب‌تر باشد.
از کدام پروتکل باید استفاده کرد؟
انتخاب پروتکل و نسخه مناسب بستگی به این دارد که دستگاه های شبکه شما از چه چیزی پشتیبانی می کنند و به چه چیزی می خواهید برسید. اگر فقط به IPv4 و ویژگی های موجود در NetFlow v5 نیاز دارید، این هنوز یک گزینه قابل اجرا است. NetFlow v5 هنوز از بسیاری از نسل‌های دستگاه‌های بسیاری از تولیدکنندگان پشتیبانی می‌کند. اگر به انعطاف‌پذیری نیاز دارید، پشتیبانی از MPLS، BGP next-hop یا IPv6، NetFlow v9 و IPFIX احتمالاً مناسب‌تر هستند.
مهم نیست که کدام را انتخاب می کنید، برای تنظیم آن برای نیازهای شما، مقداری آزمایش و تغییرات لازم است. پس از استقرار صحیح، نظارت بر جریان شبکه به شما بینشی در مورد شبکه خود می دهد که قبلاً نداشتید. این یک ابزار عالی برای مدیران شبکه است که نباید نادیده گرفته شود.
آینده نظارت بر جریان شبکه
آینده نظارت بر جریان شبکه پر از پتانسیل است. در گذشته، NetFlow و IPFIX می‌توانستند به سرعت بر مقدار منابع موجود در یک دستگاه شبکه غلبه کنند، و در صورت استفاده زیاد، گلوگاه ایجاد کنند یا درنگ ایجاد کنند. همانطور که دستگاه‌های شبکه توانمندتر می‌شوند و دستگاه‌های بیشتری با نظارت جریان طراحی می‌شوند، مزایا فقط افزایش می‌یابد و محدودیت‌ها کمتر مشکل می‌شوند. چه Netflow، JFlow، sFlow، IPFIX یا NetStream را انتخاب کنید، Noction Flow Analyzer از نیازهای نظارت بر جریان شبکه شما پشتیبانی می کند.
این مقاله را به زبان فرانسوی بخوانید – L’évolution des méthodes de surveillance des flux réseau, de NetFlow à IPFIX
