Tìm hiểu về giao thức netflow và sử dụng netflow trong việc giám sát mạng

Việc ra đời của Netflow nhằm phục vụ cho việc giám sát chi tiết các thành phần trong toàn bộ luồng lưu lượng mạng.. Việc định tuyến qua các mạng sử dụng giao thức điều khiển truyền tin I

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI

-

Nguyễn Công Trung

TÌM HIỂU VỀ GIAO THỨC NETFLOW VÀ SỬ DỤNG NETFLOW TRONG VIỆC GIÁM SÁT MẠNG IPBN CỦA VIETTTEL

Chuyên ngành: Kỹ thuật máy tính và truyền thông

LUẬN VĂN THẠC SĨ KĨ THUẬT Ngành Kỹ thuật máy tính và truyền thông

NGƯỜI HƯỚNG DẪN KHOA HỌC:

TS Nguyễn Tuấn Dũng

Hà Nội – 2015

1

MỤC LỤC

LỜI CAM ĐOAN 3

LỜI CẢM ƠN 4

DANH MỤC CÁC TỪ VIẾT TẮT 5

DANH MỤC HÌNH ẢNH 6

DANH MỤC BẢNG 8

LỜI NÓI ĐẦU 9

Lý do chọn đề tài 9

Lịch sử nghiên cứu 9

Tóm tắt nội dung 10

Phương pháp nghiên cứu 10

CHƯƠNG 1: GIỚI THIỆU VỀ NETFLOW 11

1.1 Giới thiệu về các giao thức giám sát mạng 11

1.1.1 ICMP 11

1.1.2 SNMP 11

1.1.3 Netflow 12

1.1.4 Các giao thức quản lý, quản trị các thiết bị mạng 12

1.1.4.1 Telnet 12

1.1.4.2 SSH 12

1.1.4.3 RDP 12

1.1.4.4 Syslog 13

1.2 Giao thức SNMP 13

1.2.1 Ưu điểm trong thiết kế của SNMP 13

1.2.2 Nhược điểm của SNMP 14

1.3 Giao thức Netflow 14

1.3.1 Các phiên bản của Netflow 15

1.3.2 Hoạt động của Netflow 16

1.3.3 Cấu trúc bản ghi của Netflow v9 17

1.3.4 Cơ chế lựa chọn gói tin Netflow trong thiết bị 19

1.4 Đánh giá ưu, nhược của Netflow 19

1.4.1 Ưu điểm 19

1.4.2 Nhược điểm 21

CHƯƠNG 2: GIỚI THIỆU VỀ PHẦN MỀM NFDUMP/NFSEN 23

2.1 Giới thiệu các phần mềm giám sát mạng sử dụng Netflow 23

2.2 Phần mềm Nfdump 25

2

2.2.1 Quá trình phân tích xử lý dữ liệu với Nfdump 26

2.2.2 Quá trình xử lý dữ liệu của Nfcapd 27

2.2.3 Quá trình xử lý dữ liệu Netflow của Nfdump 27

2.2.4 Dữ liệu đầu ra của Nfdump 27

2.2.5 Ưu nhược điểm của Nfdump 30

2.2.5.1 Ưu điểm 30

2.2.5.2 Nhược điểm 31

2.3 Phần mềm Nfsen 31

2.3.1 Giới thiệu chung 31

2.3.2 Xử lý dữ liệu Netflow với Nfsen 32

2.3.3 Ưu nhược điểm của Nfsen 34

2.3.3.1 Ưu điểm 34

2.3.3.2 Nhược điểm 34

CHƯƠNG 3: MÔ HÌNH NGHIÊN CỨU 35

3.1 Giới thiệu về mạng IPBN 35

3.2 Mô hình nghiên cứu 38

3.3 Kết quả 39

3.3.1 Giao diện hiển thị của hệ thống 39

3.3.2 Sử dụng Nfsen trong việc giám sát, phân tích và đánh giá hệ thống 42

3.3.2.1 Xác định các thông số dữ liệu Netflow đi qua nút mạng 42

3.3.2.2 Xác định lưu lượng bất thường của hệ thống 45

3.4 Kết luận 48

KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN CỦA LUẬN VĂN 49

Kết quả của luận văn 49

Hạn chế của luận văn 49

Hướng phát triển của luận văn 49

TÀI LIỆU THAM KHẢO 50

PHỤ LỤC 51

Phụ lục 1: Cài đặt rrdtool 51

Phụ lục 2: Cài đặt Nfdump 51

Phụ lục 3: Cài đặt Nfsen 51

3

LỜI CAM ĐOAN

Tôi xin cam đoan đề tài nghiên cứu của tôi hoàn toàn do tôi tự làm dưới sự hướng dẫn của thầy giáo TS Nguyễn Tuấn Dũng Những ết quả tìm hiểu và nghiên cứu trình bày trong luận văn là hoàn toàn trung thực và chưa từng được công bố trong bất cứ công trình nào Nếu xảy ra bất cứ điều hông đúng như những lời cam đoan trên, tôi xin chịu hoàn toàn trách nhiệm trước Viện và Nhà trường

4

LỜI CẢM ƠN

Lời đầu tiên, em xin chân thành cảm ơn trường đại học Bách Khoa Hà Nội, viện Công nghệ Thông tin – Truyền thông, chuyên ngành Kỹ thuật Máy tính và Truyền thông và toàn thể các thầy cô đã ân cần dạy dỗ, chỉ bảo, định hướng nghiên cứu cho em trong suốt một năm học vừa qua, truyền đạt cho chúng em những kiến thức quý báu

Em xin chân thành cảm ơn Tiến sỹ Nguyễn Tuấn Dũng đã dành nhiều tâm huyết, kinh nghiệm của thầy để chỉ dẫn, định hướng nghiên cứu cũng như luôn luôn góp ý cho em để hoàn thành đề tài luận văn này

Cuối cùng em cũng xin gửi lời cảm ơn tới gia đình, những người đã luôn động viên và tạo mọi điều kiện tốt cho em học tập, nghiên cứu và tới những người bạn đã giúp đỡ em trong quá trình học tập cũng như hoàn thành đề tài luận văn

Em xin chân thành cảm ơn!

ICMP Internet Control Message Protocol

IGW International Gateway

IPBN Internet Protocol Backbone Network

LACP Link Aggregation Control Protocol

LDP Label Distribute Protocol

MAC Media Access Control

MPLS Multiprotocol Label Switching

QoS Quality of Service

RDP Remote Desktop Protocol

SNMP Simple Network Management Protocol

6

DANH MỤC HÌNH ẢNH

Hình 1: Cấu trúc bản ghi Netflow 17

Hình 2: Cấu trúc phần mở đầu của bản ghi Netflow 17

Hình 3: Các trường cơ bản của Template FlowSet 18

Hình 4: Quá trình xử lý dữ liệu với Nfdump 26

Hình 5: Quá trình xử lý các tập tin dữ liệu với Nfdump 27

Hình 6: Dữ liệu đầu ra của Nfdump 27

Hình 7: Cấu trúc thư mục mặc định hi cài đặt Nfsen 32

Hình 8: Giao diện hiển thị theo tab của Nfsen 32

Hình 9: Giao diện xử lý dữ liệu Netflow 33

Hình 10: Các bước xử lý cảnh báo của Nfsen 34

Hình 11: Mô hình tổng quan của mạng IPBN 35

Hình 12: Mô hình nghiên cứu và triển hai 38

Hình 13: Giao diện home 39

Hình 14: Lưu lượng mạng qua các thiết bị 40

Hình 15: Giao diện tab Flows của Graphs 41

Hình 16: Giao diện hiển thị tab Detail 42

Hình 17: Sử dụng câu lệnh Nfdump với Nfsen 42

Hình 18: Liệt ê danh sách các luồng dữ liệu đi qua thiết bị mạng 43

Hình 19: Tính năng hiển thị thông tin của nút mạng 43

Hình 20: Liệt ê danh sách 10 lưu lượng lớn nhất 44

Hình 21: Liệt ê danh sách các dịch vụ có cổng ết nối nhiều nhất 44

Hình 22: Mô tả chi tiết các thành phần của lưu lượng mạng qua thiết bị P1_HNI 45

Hình 23: Xác định hoảng thời gian có lưu lượng ICMP lớn nhất 46

Hình 24: Thông tin chi tiết địa chỉ IP sử dụng giao thức ICMP 47

7

8

DANH MỤC BẢNG

Bảng 1: Danh sách các phiên bản của Netflow 15

Bảng 2: Bảng mô tả các trường của phần header trong bản ghi của Netflow 18

Bảng 3: Các trường cơ bản của Template FlowSet 19

Bảng 4: Bảng so sánh một số tính chất của SNMP và Netflow 22

Bảng 5: Danh sách các phần mềm giám sát mạng sử dụng Netflow 25

Bảng 6: Các định dạng với tùy trọn fmt 30

Việc giám sát lưu lượng mạng theo giao thức SNMP chỉ đảm bảo cho việc giám sát lưu lượng tổng thể chứ hông giám sát được trong luồng lưu lượng đó báo gồm những gì và chiếm bao nhiêu phần trong tổng thể lưu lượng Việc ra đời của Netflow nhằm phục vụ cho việc giám sát chi tiết các thành phần trong toàn bộ luồng lưu lượng mạng

Viettel là một trong những nhà cung cấp dịch vụ di động và cố định hàng đầu tại Việt nam Để đáp ứng các nhu cầu và yêu cầu về chất lượng ngày càng tăng thì việc quy hoạch mạng lưới là rất quan trọng Để làm được điều đó thì việc giám sát và đánh giá mạng lưới hiện tại là vô cùng quan trọng

Với thời gian nghiên cứu và sự hướng dẫn của thầy giáo, học viên đã hoàn thành đề tài luận văn với những nội dung đề ra Tuy nhiên do thời gian hạn chế, vấn

đề nghiên cứu rất mới với lượng kiến thức lớn và khó, do vậy không thể tránh được những thiếu sót, kính mong nhận được sự đóng góp ý iến của thầy cô và các bạn

Lịch sử nghiên cứu

Giao thức SNMP sử dụng trong giám sát hệ thống mạng truyền thống không đáp ứng được các yêu cầu mới Với SNMP, chúng ta chỉ biết lưu lượng tổng thể mà không biết được chi tiết các thành phần trong đó và tỷ lệ của các thành phần

Netflow ra đời để bổ sung cho những nhược điểm của SNMP Nó cho phép giám sát được chi tiết các thành phần trong luồng lưu lượng mạng

Mục tiêu của luận văn

- Mục tiêu chính của luận văn là nghiên cứu giao thức Netflow và sử dụng Netflow trong việc giám sát mạng IPBN tại Viettel

- Nghiên cứu giáo thức Netflow và phần mềm Nfdump, Nfsen trong việc giám sát lưu lượng mạng

Phương pháp nghiên cứu

Thực hiện cài đặt phần mềm Nfdump và Nfsen trên hệ điều hành Redhat và sử dụng Netflow trong việc giám sát mạng IPBN của Viettel Qua đó đánh giá được các

ưu nhược điểm của Netflow trong việc giám sát mạng lưới

11

CHƯƠNG 1: GIỚI THIỆU VỀ NETFLOW

1.1 Giới thiệu về các giao thức giám sát mạng

1.1.1 ICMP

ICMP (Internet Control Message Protocol) – Giao thức điều khiển truyền tin trên mạng Việc định tuyến qua các mạng sử dụng giao thức điều khiển truyền tin ICMP để gửi thông báo làm những công việc sau: điều khiển, thông báo lỗi và chức năng thông tin cho TCP/IP

Thông thường ICMP được gửi khi một gói tin không thể đi tới đích, hoặc một thiết bị mạng hông còn đủ chỗ nhớ để nhận thêm gói tin hay sử dụng thiết bị mạng hác để truyền thông tin theo một đường tối ưu hơn Ta sẽ xét từng trường hợp cụ thể :

- Điều khiển dòng dữ liệu: Khi trạm nguồn gửi dữ liệu tới quá nhanh, trạm đích không kịp xử lý, trạm đích – hay một thiết bị dẫn đường gửi trả trạm nguồn một thông báo để trạm nguồn tạm ngừng việc truyền thông tin

- Thông báo lỗi: Khi không tìm thấy trạm đích, một thông báo lỗi “Destination Unreachable” được thiết bị mạng gửi trả lại trạm nguồn Hoặc nếu số hiệu cổng không phù hợp, trạm đích cũng gửi thông báo lỗi lại cho trạm nguồn

- Kiểm tra trạm làm việc: Khi một máy tính muốn kiểm tra một máy khác có tồn tại và đang hoạt động hay không, nó gửi một thông báo Echo Request Khi trạm đích nhận được thông báo đó, trạm đó sẽ gửi lại một Echo Reply để thông báo sự tồn tại của mình Lệnh ping sử dụng các thông báo này Ping là một lệnh phổ biến và thường được sử dụng để kiểm tra kết nối

12

1.1.3 Netflow

Luồng dữ liệu là hướng duy nhất của gói tin đi từ nguồn tới đích xác định Các thiết bị mạng sẽ lưu và xuất toàn bộ thông tin lưu lượng mạng phục vụ cho việc giám sát, quản lý mạng và quy hoạch mạng lưới

Netflow cung cấp các dữ liệu cần thiết và thuận tiện cho việc đánh giá, phân tích dựa trên luồng dữ liệu giữa các thiết bị mạng Dữ liệu này cũng có thể lưu trữ và cung cấp thông tin cho việc quản lý, đánh giá các ứng dụng thương mại

1.1.4 Các giao thức quản lý, quản trị các thiết bị mạng

1.1.4.1 Telnet

Telnet (Terminal Network) là một giao thức mạng (Network Protocol) được dùng trên các kết nối với Internet hoặc các kết nối tại mạng máy tính cục bộ LAN (Local Area Network) Mục đích của telnet là cung cấp một phương tiện truyền thông chung, có tính lưỡng truyền Telnet được giới thiệu trong các RFC từ RFC854 đến RFC861

1.1.4.2 SSH

SSH (Secure Shell) là một giao thức mạng dùng để thiết lập kết nối mạng một cách bảo mật SSH hoạt động ở lớp trên trong mô hình phân lớp TCP/IP Các công cụ SSH (như là OpenSSH ) cung cấp cho người dùng cách thức để thiết lập kết nối mạng được mã hoá để tạo một kênh kết nối riêng tư

SSH là một chương trình tương tác giữa máy chủ và máy khách có sử dụng cơ chế mã hoá đủ mạnh nhằm ngăn chặn các hiện tượng nghe trộm, đánh cắp thông tin trên đường truyền Các chương trình trước đây: telnet, rlogin không sử dụng phương pháp mã hoá Vì thế bất cứ ai cũng có thể nghe trộm thậm chí đọc được toàn bộ nội dung của phiên làm việc bằng cách sử dụng một số công cụ đơn giản Sử dụng SSH là biện pháp hữu hiệu bảo mật dữ liệu trên đường truyền từ hệ thống này đến hệ thống khác

1.1.4.3 RDP

RDP (Remote Desktop Protocol) là giao thức quản lý dùng trong Windows, được thiết kế trong việc kết nối người sử dụng từ xa đến các ứng dụng được cài đặt tập trung trên các máy chủ Mặc định, RDP sử dụng cổng kết nối 3389

13

1.1.4.4 Syslog

Syslog là một trong những giao thức để giám sát mạng Cơ chế hoạt động của syslog là ghi thông tin các sự kiện của một hay nhiều thiết bị (có thể là máy chủ hay thiết bị mạng) sau đó tổng hợp thành cơ sở dữ liệu duy nhất thuận tiện cho việc lưu trữ

và phân tích Syslog có lịch sử lâu dài, bắt đầu phát triển từ năm 1980 ết hợp trong

Một thiết bị hiểu được và hoạt động tuân theo giao thức SNMP được gọi là “có

hỗ trợ SNMP” (SNMP supported) hoặc “tương thích SNMP” (SNMP compatible)

SNMP dùng để quản lý và điều khiển hệ thống hoạt động như ý muốn Một số khả năng của phần mềm SNMP:

- Theo dõi tốc độ đường truyền của một router, biết được tổng số byte đã truyền/nhận

- Lấy thông tin máy chủ như tải CPU, RAM, dung lượng ổ cứng

- Tự động nhận cảnh báo khi thiết bị mạng có một cổng bị chết

- Điều khiển tắt các cổng của thiết bị mạng

SNMP dùng để quản lý mạng, nó được thiết kế để chạy trên nền TCP/IP và quản lý các thiết bị có nối mạng TCP/IP Các thiết bị mạng không nhất thiết phải là máy tính mà có thể là switch, router, firewall, adsl gateway, và cả một số phần mềm cho phép quản trị bằng SNMP Giả sử bạn có một cái máy giặt có thể nối mạng IP và

nó hỗ trợ SNMP thì bạn có thể quản lý nó từ xa bằng SNMP SNMP là giao thức đơn giản, do nó được thiết kế đơn giản trong cấu trúc bản tin và thủ tục hoạt động, và còn đơn giản trong bảo mật (ngoại trừ SNMP version 3) Sử dụng phần mềm SNMP, người quản trị mạng có thể quản lý, giám sát tập trung từ xa toàn mạng của mình

1.2.1 Ưu điểm trong thiết kế của SNMP

SNMP được thiết kế để đơn giản hóa quá trình quản lý các thành phần trong mạng Nhờ đó các phần mềm SNMP có thể được phát triển nhanh và tốn ít chi phí SNMP được thiết kế để có thể mở rộng các chức năng quản lý, giám sát Khi có một

14

thiết bị mới với các thuộc tính, tính năng mới thì người ta có thể thiết kế thay đổi SNMP để phục vụ cho riêng mình SNMP được thiết kế để có thể hoạt động độc lập với các kiến trúc và cơ chế của các thiết bị hỗ trợ SNMP Các thiết bị khác nhau có hoạt động khác nhau nhưng đáp ứng SNMP là giống nhau

1.2.2 Nhược điểm của SNMP

SNMP giám sát được toàn bộ lưu lượng mạng, tải của thiết bị mạng, máy chủ… Tuy nhiên, SNMP hông thể giám sát được thông tin chi tiết trong luồng lượng đó:

- Không biết được thông tin chi tiết trong luồng lưu lượng, không biết trong luồng lưu lượng đó gồm có những thành phần nào

- Không xác định được thông tin cổng dịch vụ, giao thức sử dụng cũng như tỷ lệ các của các thành phần đó

Sự phát triển của mạng IP kéo theo sự phát triển của các dịch vụ, ứng dụng mới Việc này kéo theo các yêu cầu về băng thông, hiệu năng, chất lượng dịch vụ đặc biệt là các dịch vụ đa phương tiện Việc phát triển trên dẫn tới SNMP không thể đáp ứng hết các yêu cầu Nhu cẩu phát triển một giao thức mới nhằm đáp ứng các yêu cầu trên và Cisco IOS Netflow ra đời đáp ứng cho những yêu cầu này và phiên bản đầu tiên ra đời vào 5/9/2001

1.3 Giao thức Netflow

Để giám sát băng thông của hệ thống, ta thường sử dụng SNMP Tuy nhiên, với SNMP ta không thể theo dõi được các tính chất bên trong của lưu lượng nên các nhà cung cấp dịch vụ không thể hỗ trợ được các dịch vụ cụ thể cho hách hàng cũng như đối tác Một yêu cầu đề ra là làm sao để giám sát từng gói tin, dung lượng sử dụng của từng dịch vụ, và chi tiết từng dịch vụ đó đi và đến từ địa chỉ IP cụ thể nào Netflow ra đời để đáp ứng các yêu cầu còn thiếu của SNMP

Luồng dữ liệu được định nghĩa là hướng duy nhất của gói tin đi từ nguồn tới đích xác định Các thiết bị mạng sẽ lưu và xuất toàn bộ thông tin lưu lượng mạng phục

vụ cho việc giám sát, quản lý mạng và quy hoạch mạng lưới

Netflow [1, 2, 3] cung cấp các dữ liệu cần thiết và thuận tiện cho việc đánh giá, phân tích dựa trên luồng dữ liệu giữa các node mạng Dữ liệu này cũng có thể lưu trữ

và cung cấp thông tin cho việc quản lý, đánh giá các ứng dụng

15

Bản ghi dữ liệu của Netflow chứa thông tin về địa chỉ nguồn, đích, giao thức và cổng dịch vụ… giữa các thiết bị

1.3.1 Các phiên bản của Netflow

Hiện tại, Netflow đã có tới phiên bản 10, tuy nhiên phiên bản sử dụng phổ biến hiện nay là phiên bản Netflow phiên bản 9 [5]

Phiên bản Mô tả chi tiết

v1 Phiên bản đầu tiên và hiện tại hông sử dụng, nó chỉ tập trung cho IPv4

(không có IP mask và AS number)

v2 Không xuất bản ra ngoài

v3 Không xuất bản ra ngoài

v4 Không xuất bản ra ngoài

v5

Bắt đầu từ 2009, là phiên bản phổ biến trong nhiều dòng thiết bị mạng của các nhà phân phối hác nhau Phiên bản này hạn chế cho IPv4 flows

v6 Không được hỗ trợ bới Cisco

v7 Tương tự như v5 Phiên bản này chỉ sử dụng cho dòng switch Cisco

Catalyst

v8 Tập hợp lại một số thông số, nhưng các thông tin này đều đã đưa ra

trong v5

v9 Phiên bản đưa ra cho một số giao thức định tuyến gần đây Phần lớn sử

dụng cho các lưu lượng IPv6, MPLS hoặc IPv4 với BGP nexthop

v10 Chuẩn hóa cho phiên bản v9 và thêm một số trường mở rộng cho doanh

nghiệp Bảng 1: Danh sách các phiên bản của Netflow Phiên bản sử dụng phổ hiện này là Netflow v9, nên trong phạm vi của đề tài chỉ giới thiệu về cấu trúc bản tin của Netflow v9 Netflow v9 được được mô tả chi tiết trong sau:

RFC 2720 - Traffic Flow Measurement: Meter MIB

RFC 3334 - Policy-Based Accounting

RFC 3917 - Requirements for IP Flow Information Export (IPFIX)

RFC 3954 - Cisco Systems NetFlow Services Export Version 9

RFC 3955 - Candidate Protocols for IP Flow Information Export (IPFIX)

16

1.3.2 Hoạt động của Netflow

Netflow hoạt động bằng cách tạo ra một bộ nhớ đệm (Netflow cache) chứa thông tin về tất cả các luồng (flow) đang hoạt động

Bộ nhớ đệm này được xây dựng bằng cách xử lý gói tin trong luồng dữ liệu thông qua một đường chuyển mạch chuẩn Trong một luồng nó chỉ ghi lại các gói tin đầu tiên và nó sử dụng lại bản ghi này cho các gói tin khác trong luồng đó cho đến khi luồng đó ết thúc Các bản ghi này sẽ được lưu trong bộ nhớ đệm (Netflow Cache)

Gói tin đó sẽ được kiểm tra trong bảng định tuyến về các thông tin:

- Địa chỉ IP nguồn, IP đích

- Cổng kết nối nguồn, đích

- Loại giao thức lớp 3

- Loại dịch vụ ToS byte

- Lớp giao diện (interface) của thiết bị chuyển mạch

Mỗi một bản ghi trong bộ nhớ đệm chứa các trường thuộc tính Mỗi bản ghi được tạo ra bằng cách so sánh:

- Thuộc tính của các gói tin

- Đếm số gói tin và số byte của mỗi luồng

Sau đó có thể nó xuất các bản ghi này tới một thiết bị thu thập dữ liệu Có 2 cách để xem dữ liệu trong Netflow:

- CLI: dùng câu lệnh, chế độ này giúp bạn biết được những thay đổi tức thì

- Máy chủ thu thập (Netflow collector): chế độ này sẽ chuyển dữ liệu từ bộ nhớ đệm tới máy chủ thu thập, máy chủ này thu thập thông tin về luồng và tổng hợp thành các báo cáo

Không giống như SNMP, Netflow thường xuyên gửi thông tin một cách định

kỳ tới máy chủ thu thập

Bộ nhớ đệm liên tục cập nhập các bản ghi từ thiết bị mạng Nó sẽ tìm trong bộ đệm những luồng đã ết thúc và những luồng này sẽ được gửi tới máy chủ thu thập Luồng sẽ kết thúc khi giao tiếp mạng kết thúc

Sau đây là các bước cơ bản để thực hiện một bản ghi của Netflow:

- Netflow được cấu hình ghi dữ liệu vào bộ nhớ đệm

- Netflow được cấu hình để gửi các luồng tới máy chủ thu thập

17

- Bộ nhớ đệm tìm kiếm luồng đã ết thúc và gửi thông tin về luồng đó tới máy chủ thu thập

- Có khoảng từ 30-50 luồng được đóng gói và gửi dưới dạng UDP

- Phần mềm sẽ phân tích dữ liệu và tạo các báo cáo theo lịch sử và thời gian thực

Netflow thường được sử dụng ở trung tâm, quản lý và giám sát các thành phần khác.Vị trí triển khai Netflow phụ thuộc vào cấu trúc mạng

1.3.3 Cấu trúc bản ghi của Netflow v9

Cấu trúc bản ghi của Netflow v9 bao gồm một gói tin tiêu đề và có ít nhất một trong các gói tin Template FlowSet hay Data FlowSets Gói tin Template FlowSet mô

tả các trường sẽ sử dụng trong Data FlowSet Các Data FlowSet có thể trong cùng gói tin đó hay gói tin sau đó Các Template hay Data FlowSet có thể sử dụng xen kẽ như trong mô tả bên dưới:

Hình 1: Cấu trúc bản ghi Netflow Trong gói tin của Netflow có thể là sự kết hợp:

- Gói tin có chứa cả Template và Data Flow Set

- Gói tin chỉ có Data FlowSet

- Gói tin chỉ có Template FlowSet

Cấu trúc phần mở đầu của gói tin (Packet Header):

Hình 2: Cấu trúc phần mở đầu của bản ghi Netflow Tên các trường và ý nghĩa của nó:

Tên các trường Mô tả

Version Phiên bản của Netflow, với phiên bản 9 thì giá trị này là

0x0009

18

Count Số lượng các bản ghi FlowSet (cả Template và Data) sử dụng

trong gói tin System Uptime Thời gian tính từ khi thiết bị khởi động lần đầu

UNIX Seconds Thời gian tính theo (UTC) 1970

Sequence

Number

Giá trị này tăng hi các gói tin gửi bởi 1 thiết bị, giá trị này được tích lũy để xác định xem bao nhiêu gói tin bị bỏ qua Source ID Sử dụng 32 bit, định dạng của phần này là tương ứng cho

từng nhà cung cấp

Bảng 2: Bảng mô tả các trường của phần header trong bản ghi của Netflow Cấu trúc của Template FlowSet:

Hình 3: Các trường cơ bản của Template FlowSet

Ý nghĩa của một số trường cơ bản:

FlowSet ID Trường này sử dụng để phân biệt giữa Template FlowSet với

Data FlowSet Với Template thì giá trị này là từ 0-255

19

Length Chiều dài tổng thể của FlowSet

Template ID Thiết bị mạng định nghĩa các FlowSets template hác nhau

tương ứng với các loại dữ liệu Netflow sẽ được export Template

ID có giá trị từ 256 trở đi Field Count Thông tin số trường trong bản ghi template

Field Type Trường này mô tả thông tin về nhà sản xuất

Field Length Thông số định nghĩa chiều dài của các trường phía trên và đơn vị

là byte

Bảng 3: Các trường cơ bản của Template FlowSet

1.3.4 Cơ chế lựa chọn gói tin Netflow trong thiết bị

Có hai phương pháp lựa chọn các gói tin:

- Lựa chọn gói tin dựa vào các tham số lọc (Netflow filtering)

- Lựa chọn thông tin thông qua việc lấy mẫu các gói tin (Netfow sampling) Yêu cầu cấu hình thiết bị cho việc sử dụng lọc (Netflow filtering):

- Cấu hình router cho định tuyến IP

- Cấu hình Cisco Express Forwarding (CEF) hoặc distributed Cisco Express Forwarding (dCEF)

- Tạo các phân lớp lưu lượng và định nghĩa trong bảng các dữ liệu mẫu của Netflow

Quá trình lấy mẫu: Lấy 1 gói tin trong n gói tin của thiết bị (với n là tham số nhập vào trong quá trình cấu hình Netflow) Cách lấy này chia nhỏ thành 2 phương pháp:

- Random Sampled Netflow: Lấy bất ỳ 1 gói tin trong n gói tin của thiết bị

- Netflow sampler: Lấy 1 gói tin có chủ định trong n gói tin của thiết bị (ví dụ gói tin 101, 102,103)

Yêu cầu cấu hình thiết bị đối với Random Sampled Netflow

- Cấu hình router cho định tuyến IP

- Cấu hình Cisco Express Forwarding (CEF) hoặc distributed Cisco Express Forwarding (dCEF)

1.4 Đánh giá ưu, nhược của Netflow

1.4.1 Ưu điểm

- Giám sát mạng chi tiết mạng và hỗ trợ phân tích các ứng dụng:

20

Việc sử dụng Netflow để giám sát gần như việc giám sát hệ thống mạng với thời gian thực Kỹ thuật phân tích của Netflow cho phép hình dung được mô hình giao tiếp giữa các thiết bị mạng từ đơn giản đến phức tạp, thuật tiện trong việc đánh giá, đưa ra giải pháp và khắc phục các sự cố nhanh chóng

Các thông số của Netflow cho phép giám sát chi tiết và theo thời gian các ứng dụng sử dụng trên hệ thống Những thông tin này giúp cho việc lập kế hoạch, đánh giá dịch vụ mới và phân phối tài nguyên của các ứng dụng để đáp ứng các yêu cầu của khách hàng

- Giám sát và phân tích tài nguyên của khách hàng:

Các thông số của Netflow hỗ trợ việc đánh giá chi tiết mức độ sử dụng các nguồn tài nguyên của khách hàng Các thông số này giúp cho việc lập kế hoạch hiệu quả, đánh giá các nguồn tài nguyên ứng dụng cũng như phát hiện và khắc phục các vấn đề liên quan đến các chính sách bảo mật

- Hỗ trợ trong việc thiết kế mạng lưới:

Dữ liệu Netflow được thu thập và lưu trữ trong một thời gian dài phục vụ việc đánh giá, dự đoán tăng trưởng mạng lưới và lập kế hoạch phát triển mạng lưới Nó giúp cho việc tối ưu hóa mạng lưới, giúp tăng hiệu năng tối đa của hệ thống mạng với chi phí nhỏ nhất Netflow cũng đánh giá được các lưu lượng WAN không mong muốn, các băng thông hợp lệ và QoS Nó cũng cung cấp các thông tin hỗ trợ tối ưu hóa chi phí vận hành của hệ thống

- Phân tích và phát hiện các vấn đề về bảo mật:

 Phân tích bảo mật: Netflow xác định và phân loại các cuộc tấn công DDoS, virus và sâu theo thời gian thực Các thay đổi hành vi bất thường hiển thị rõ ràng trong dữ liệu Netflow Các dữ liệu này cũng là một công cụ pháp lý có giá trị để đánh giá lịch sử các vấn đề bảo mật

 Với việc đưa ra các thông tin chi tiết về lưu lượng của các dịch vụ bên trong hệ thống mạng, Netflow hỗ trợ cho IDSs (intrusion detection systems) trong việc giám sát đánh giá và giới hạn lưu lượng của mạng nội bộ

 Phát hiện sớm các vị trí thắt cổ chai, phát hiện các phần mềm độc hại phát tát trên mạng

 Cung cấp cái nhìn tổng thể về toàn bộ hệ thống Nó giúp cho việc đánh giá và kiểm lại toàn bộ hệ thống

21

- Thống kê tổng lưu lượng băng thông sử dụng

Các thông tin của Netflow bao gồm địa chỉ IP, dung lượng sử dụng, thời gian

sử dụng, các ứng dụng, cổng dịch vụ… giúp cho việc đánh giá tài nguyên sử dụng của khách hàng Nhà cung cấp dịch vụ dựa vào các thông tin này để đưa vào trong chi phí phải thanh toán của hách hàng như thời gian, băng thông, ứng dụng, chất lượng dịch vụ…đồng thời sử dụng các thông tin này cho việc phân tích đánh giá tài nguyên phân

- Ảnh hưởng đến tải CPU của thiết bị:

Cisco đưa ra phân tích về ảnh hưởng của CPU khi bật Netflow trên thiết bị Cisco và đưa ra huyến cáo cho tải của CPU dưới 60% khi bật tính năng Netflow

- Không thể giám sát theo từng cổng vật lý của thiết bị

Qua việc phân tích SNMP và Netflow, ta có thể so sánh SNMP với Netflow theo bảng một số tiêu chí như sau:

số dòng thiết bị mới hỗ trợ) Thống ê lưu lượng, theo địa chỉ Không Có

22

IP, MAC, giao thức …

Giám sát lưu lượng theo từng

Giám sát các thông số khác của

Tải của máy chủ Nhỏ Lớn, phụ thuộc vào dung lượng

của tập tin Netflow từ thiết bị Băng thông sử dụng cho việc

Phụ thuộc vào lưu lượng của mạng

Bảng 4: Bảng so sánh một số tính chất của SNMP và Netflow

23

CHƯƠNG 2: GIỚI THIỆU VỀ PHẦN MỀM NFDUMP/NFSEN

2.1 Giới thiệu các phần mềm giám sát mạng sử dụng Netflow

Netflow ngày càng quan trọng trong việc giám sát mạng lưới Do vậy có rất nhiều hãng phát triển phần mềm giám sát dựa trên Netflow, bao gồm cả phần mềm thương mại và phi thương mại Có thể liệt kê danh sách phần mềm của các hãng như sau:

Tên sản phầm Công ty

phát triển

Thông tin bản quyền Mô tả phần mềm

Netflow Analyzer AdventNet Thương mại Phần mềm phân tích dữ liệu

Netflow dựa trên nền web

WANGUARD Andrisoft Thương mại

Giám sát lưu lượng mạng, sử dụng Netflow trong việc chống DDoS

NetUsage Apoapsis Thương mại

Phục vụ cho việc giám sát, quy hoạch phân tích và đánh giá chi phí cho các dự án thương mại

Networks Thương mại

Phân tích lưu lượng, giám sát DDoS, phân tích các kết nối ngang hàng và thu thập dữ liệu Netflow

Cflowd Analysis

Thu thập và đưa ra báo cáo các

dữ liệu Netflow

Caligare Flow

Inspector Caligare Thương mại

Giám sát lưu lượng thời gian thực, giám sát và lọc những lưu lượng bất thường của mạng lưới

Netflow Monitor CESNET Miễn phí

Giám sát lưu lượng Netflow và đánh giá Netflow Exports từ các thiết bị của Cisco

eHealth Traffic

Accountant

Computer Associates Thương mại Phần mềm thương mại cho việc

giám sát lưu lượng mạng sử

24

dụng Cisco Netflow Collector

Netflow Tracker Crannog

Software Thương mại Phân tích lưu lượng, thu thập

dữ liệu Netflow

Netflow

Reporting System

Dynamic Networks Miễn phí

Mô tả từng bước chi tiết xây dựng các báo cáo sử dụng lưu lượng mạng bằng việc sử dụng công cụ RRDTool, flow-tool, FlowScan và CUFlow

NTOP Ethereal Miễn phí Phần mềm thu thập dữ liệu

Netflow

Evident Analyze Evident

Software Thương mại

Phần mềm sử dụng Netflow cho thanh toán chi phí và phân tích lưu lượng

Netflow Insight Hewlett

Packard Thương mại

Phân tích lưu lượng, thu thập

dữ liệu Netflow sử dụng HP Insight Network Performance Monitoring

Aurora IBM Thương mại Flow Based Profiling System

InfoVista Netflow Infovista Thương mại Giám sát hiệu năng của nhà

Nfsen & Nfdump Peter Haag

SWITCH Miễn phí

Phân tích, giám sát lưu lượng, lịch sử, cảnh báo, phần đồ họa dựa trên RRD

Flowd Mindrot Miễn phí Phần mềm thu thập dữ liệu

25

Netflow

Flow Viewer NASA Miễn phí Các công cụ đồ họa xây dựng

báo cáo Netflow NetQoS Netflow

Reporter

Analyzer

NetQoS Thương mại

Thu thập, phân tích dữ liệu Netflow cho doanh nghiệp và các nhà cung cấp dịch vụ

PRTG Paessler Thương mại Phần mềm cài đặt trên

Nfdump [8]: Là bộ công cụ thụ thập và phân tích dữ liệu Netflow Nó thu thập

dữ liệu từ các node mạng đẩy về, thực hiện lưu trữ và phân tích các dữ liệu đó

Nfdump bao gồm các công cụ:

- Nfcapd: Thu thập dữ liệu từ các phần tử mạng gửi về và lưu lại định ỳ theo thời gian (giá trị mặc định là 5 phút)

- Nfdump: Đọc và phân tích các tập tin dữ liệu lưu bởi nfcapd

- Nfprofile: Đọc dữ liệu từ các tập tin lưu bởi nfcapd, phân tích và lọc theo các điều iện đặt trước và lưu lại cho mục đích sử dụng sau

- Nfreplay: Đọc dữ liệu các tập tin lưu bởi nfcapd và gửi đến các máy chủ hác

- Nfclean.pl: Sử dụng cho việc xóa các dữ liệu cũ