Интернет магазин китайских планшетных компьютеров

Компьютеры - Netflow - Описание протокола

NetFlow использует UDP или SCTP для передачи данных о трафике коллектору. Как правило, коллектор слушает порт 2055, 9555 или 9995.

Сенсор выделяет из проходящего трафика потоки, характеризуемые следующими параметрами:

• Адрес источника;
• Адрес назначения;
• Порт источника для UDP и TCP;
• Порт назначения для UDP и TCP;
• Тип и код сообщения для ICMP;
• Номер протокола IP;
• Сетевой интерфейс;
• IP Type of Service.

Потоком считается набор пакетов, проходящих в одном направлении. Когда сенсор определяет, что поток закончился, он отправляет информацию в коллектор. В зависимости от настроек он также может периодически отправлять в коллектор информацию о все еще идущих потоках.

Собранная информация отправляется в виде записей, содержащих следующие параметры:

• Номер версии протокола;
• Номер записи;
• Входящий и исходящий сетевой интерфейс;
• Время начала и конца потока;
• Количество байт и пакетов в потоке;
• Адрес источника и назначения;
• Порт источника и назначения;
• Номер протокола IP;
• Значение Type of Service;
• Для TCP-соединений — все наблюдаемые в течение соединения флаги;
• Адрес шлюза;
• Маски подсети источника и назначения.

Версия 9 также поддерживает дополнительные поля, такие как заголовки IPv6, метки потоков MPLS и адрес шлюза BGP. Некоторые сенсоры могут также поддерживать номер автономной системы.

Если используется UDP, то потерянная из-за проблем сетью запись не будет получена коллектором. Коллектор может определить потери пакетов по значениям номера записи, которые по стандарту должны быть возрастающими.

Если сенсором выступает сетевое устройство, то для экономии ресурсов NetFlow включают только для тех интерфейсов, на которых хотят собирать статистику.

Для экономии ресурсов процессора также применяется «sampled NetFlow». В этом случае сенсор анализирует не все, а каждый n-ый пакет, где n может быть заданным административно или выбираемым случайным образом. При использовании sampled NetFlow получаемые значения являются не точными, а оценочными.