[출퇴근 TIL] Netflow란?

반응형

220811

 

Netflow : 

 

라우터장비 등 

1) wireshark, tcpdump

2) 미러: 장비에 분석기 달아서 패킷을 거기에 보내서 어플리케이션의 패킷 볼 수있음

 

어플리케이션간 통신

메타데이타 : Appli에서 데이터 생성 + tcp/udp 등 프로토콜 방식으로 소켓화 encapsul? Dest, src +ip 헤더dsp src+이더넷 프레임

 

Flow데이터 : 

모두 덤프떠서 보기엔 disk, 분석기 capa 많이 필요

+ raw 다 보기엔 비효율적

Flow데이터 : 실제 통신에 필요한 헤더값만. 장비간 커넥션 정보

 

표준화 개념 : Ipfix

 

Flow 정보 : 메타데이타 +5tuple+a

5-tuple : Src ip, src port, dest ip ,dest ip, protocol

유실 시간 정보, qs정보, 통계값, 세션, 헤더 값, 

+제품별로 a

 

활용

: 네트워크 모니터링(top10), capa관리, 보안(패킷덤프. 포트 등으로 확인 어플리케이션 확인가능), 어플리케이션 모니터링, 빌링(데이터 양 측정), 트래픽 분석( ex특정 인터페이스에 이슈 있을때 모니터링)

 특정 장비 네트워크 통계(인터페이스별, 어플리케이션.. )

 

구조

라우터 -> 분석기로 export -> 분석기가 report 생성

 

본래 라우터는 패킷 받으면 해당 인터페이스에 맞게 l2프레임 달아서 보내는 역할

+ mpu?에 모니터링위해 분석기 달면 MEM 사용

통계, 테이블로 변환 위해 main cpu, mem 필요. 이거 관리위해 리소스 필요

모든 플로우 보기 힘듦 -> 통계정보만 보려면 sampling

 

Flow관리 관점: active , inactiva

export 언제할거냐. Export핫때 cpu 필요

tcp등은 reset, session끝나면 등에 가능

udp는 그런 정보x 시간으로밖에안됨 : timer 설정에따라 mem 사용됨. 적당한 설정 필요