NetFlow es un protocolo de red diseñado para dar cuenta del tráfico de red, desarrollado por Cisco Systems . Es el estándar industrial de facto y es compatible no solo con los equipos de Cisco, sino también con muchos otros dispositivos (en particular, Juniper , ZTE y Enterasys ). También hay implementaciones gratuitas para sistemas similares a UNIX .
Hay varias versiones del protocolo, las más comunes para 2011 son las versiones 5 y 9. Basado en la versión 9, también se desarrolló un estándar abierto llamado IPFIX (Exportación de información de flujo de protocolo de Internet, exportación de información de flujo de IP ). [1] [2]
Para recopilar información sobre el tráfico mediante el protocolo NetFlow, se requieren los siguientes componentes:
NetFlow usa UDP o SCTP para enviar datos de tráfico al recopilador. Normalmente, el recopilador escucha en el puerto 2055, 9555 o 9995.
El sensor selecciona flujos del tráfico que pasa , caracterizado por los siguientes parámetros:
Un flujo es una colección de paquetes que viajan en la misma dirección. Cuando el sensor determina que el flujo ha finalizado (cambiando los parámetros del paquete o restableciendo la sesión TCP), envía información al recopilador. Según la configuración, también puede enviar periódicamente información sobre flujos aún en ejecución al recopilador.
La información recopilada se envía como registros que contienen los siguientes parámetros (para la versión 5):
La versión 9 también admite campos adicionales como encabezados IPv6 , etiquetas de flujo MPLS y dirección de puerta de enlace BGP . Algunos sensores también pueden admitir un número de sistema autónomo .
Si se utiliza UDP, el recopilador no recibirá un registro perdido debido a problemas de red. El colector puede determinar la pérdida de paquetes a partir de los valores del número de entrada, que por norma debe ir aumentando.
Si un dispositivo de red (enrutador o conmutador) actúa como un sensor, entonces, para ahorrar recursos, NetFlow está habilitado solo para aquellas interfaces en las que desea recopilar estadísticas.
"NetFlow muestreado" también se utiliza para conservar los recursos de la CPU. En este caso, el sensor no analiza todo, sino cada n-ésimo paquete, donde n puede configurarse administrativamente o elegirse al azar. Al utilizar NetFlow muestreado, los valores obtenidos no son exactos, sino estimados.