Netflow

Sissejuhatus

Newflow abil saab analüüsida ja üldistada andmevahetust nt võrgusõlme läbinud liikust.

Skeem

Netflow kasutamisel on esinevad tavaliselt kolme sorti osalised

• netflow allikad - üks või enam OpenBSD tulemüüri
• netflow kogujad - tavaliselt sisaldub skeemis üks netflow koguja (ingl. k. collector), nt Debian Linux ja nfdump tarkvara
• netflow analüsaator - nt NfSen PHP kasutajaliidesega rakendus, mis tegelikult juhib ka netflow kogumist

             _____  
            |     |  NfSen - analüsaator
            |_____|  nfdump - netflow koguja
   9995/udp    |
               |
               |
     ---|------|-----------|-------------------|-----
        |                  |                   |
      __|__              __|__               __|__
     |     |            |     |             |     |
     |_____|            |_____|             |_____|
 
           OpenBSD tulemüürid - netflow allikad

kus

• allikad saadavad kogujale udp pakettide vormis andmeid, vaikimisi pordile 9995/udp

OpenBSD allikate ettevalmistamine

Alates versioonist 4.5 saab OpenBSD tulemüürist väljastada netflow standardile vastavaid sõnumeid.

Paketifiltri seadistamine

Paketifilter võimaldab netflow'd saata nö pass reegli täpsusega kasutades pflow parameetrit, nt

 pass in quick inet proto tcp from 10.0.6.174 to any port { 80, 443 } keep state (pflow) label "JSint from 10.0.6.174 to any port 80 443"

Kui reeglites ei ole imlutatult state omadusi täpsustatud, siis vaikimisi saab kõigi pass reeglite jaoks pflow sisse lülitada kasutades

 set state-defaults pflow

pflow väljastamine

Sõnumite saatmiseks tuleb öelda kuhu sõnumeid saata

 # ifconfig pflow0 flowsrc 192.168.10.210 flowdst 192.168.10.51:9995

Lisaks tuleb lubada vastav liiklus arvutist välja. Sõnumite liiklusmises saab veenduda liiklust kuulates

 # tcpdump -nei pflow0                                               
 tcpdump: listening on pflow0, link-type RAW
 17:14:15.813705 ip: 192.168.10.210.62379 > 192.168.10.51.9995: udp 1464 (DF) [tos 0x10]

Debiani koguja ja analüsaatori ettevalmistamine

Käesoleva skeemi kohaselt töötavad Debian Lenny keskkonnas kaks komponenti

• netflow kogumine - paketialdusest paigaldatud vahenditega, nfdump pakett
• netflow analüüs - lähtetekstist paigaldatud NfSen rakendus

netflow koguja ettevalmistamine

Debiani paketihalduses on olemas nfdump tarkvara, kuhu komplekti kuulub programm nfcapd, mille abil saab võtta vastu saadetud netflow andmeid ning promgramm nfdump, mille abil saab esitada kogutud andmeid tekstilisel kujul. Paigaldamiseks sobib öelda, kusjuures paigaldamise järel on programm käivitatud

 # apt-get install nfdump

Omakäeliselt nfcapd käivitamiseks sobib nt öelda, /tmp/nfdata kataloog peab olemas olema

 # nfcapd -z -w -l /tmp/nfdata -S "%Y/%m/%d/%H"

Mõne aja pärast on sinna ilmunud sarnased failid, nende sinu esitamiseks sobib öelda nt

 # nfdump -r /tmp/router1/nfcapd.200905031005
 Date flow start          Duration Proto      Src IP Addr:Port          Dst IP Addr:Port   Packets    Bytes Flows
 2009-05-03 13:50:25.466    30.000 UDP     192.168.10.101:21897 ->      89.25.35.28:57476        1      142     1
 2009-05-03 13:50:25.466    30.000 UDP        89.25.35.28:57476 ->   192.168.10.101:21897        1       48     1
 2009-05-03 13:50:25.466    30.000 UDP       84.50.96.138:54754 ->      89.25.35.28:57476        1      142     1
 2009-05-03 13:50:25.466    30.000 UDP        89.25.35.28:57476 ->     84.50.96.138:54754        1       48     1
 2009-05-03 13:50:25.466    30.000 UDP     192.168.10.101:631   ->   192.168.10.255:631          2      402     1
 ...

Tundub, et suhteliselt sobiv on kasutada Debiani keskkonda veebirakenduse abil netflow esitamiseks.

NfSen analüsaatori ettevalmistamine

Paketihaldusest peavad olema paigaldatud

 # apt-get install apache2 php5 librrds-perl

Lisada süsteemi kasutaja:grupp, kelle õigustes NfSen deemon käima hakkab, nt

 # groupadd nfsen
 # useradd -g nfsen -m -d /home/nfsen nfsen

NfSen tarkvara saab kopeerida aadressil http://nfsen.sourceforge.net/ toodud lingilt, seejärel sobib ta pakkida lahti nt /usr/src kataloogis juurkasutajana

 # cd /usr/src
 # tar zxf nfsen-1.3.2.tar.gz

Enne installeerimist tuleb moodustada failisüsteemi vajalikud kataloogid

• /srv/www/nfsen - veebiliidese osa
• /srv/nfsen - nfsen mootor

Seejärel tuleb ettevalmistada sobiva sisuga NfSen seadistusfail /srv/nfsen/etc/nfsen.conf

 # cp nfsen-dist.conf nfsen.conf

kus on oluline üle vaadata sellised parameetrid

• $BASEDIR = "/srv/nfsen";
• $HTMLDIR = "/srv/www/nfsen/";
• $PREFIX = '/usr/bin';
• $USER = "nfsen";
• $WWWUSER = "www-data";
• $WWWGROUP = "www-data";

Lisaks tuleb kirjeldada kus kuulatakse netflow allikaid

 %sources = (
   'upstream1'    => { 'port'    => '9995', 'col' => '#0000ff', 'type' => 'netflow' },
   'peer1'        => { 'port'    => '9996', 'col' => '#ff0000' },
 );

NfSen käivitamine

Töötavale nfsenile vastavad sellised protsessid

 # ps aux | grep nfsen
 nfsen  4204  0.0  0.2  15592  1424 ?  S  17:29   0:00 /usr/bin/nfcapd -w -D -I upstream1 -p 9995 -u nfsen -g www-data \
   -B 200000 -S 1 -l /srv/nfsen/profiles-data/live/upstream1 -P /srv/nfsen/var/run/upstream1.pid
 nfsen  4207  0.0  0.1  15592   604 ?  S  17:29   0:00 /usr/bin/nfcapd -w -D -I peer1 -p 9996 -u nfsen -g www-data \
   -B 200000 -S 1 -l /srv/nfsen/profiles-data/live/peer1 -P /srv/nfsen/var/run/peer1.pid
 nfsen  4209  0.1  3.4 125680 17736 ?  Ss 17:29   0:26 /usr/bin/perl -w /srv/nfsen/bin/nfsend
 nfsen  4210  0.0  2.4 120732 12388 ?  Ss 17:29   0:12 /srv/nfsen/bin/nfsend-comm

NfSen kasutamine

TODO

Nfsen

Vajalik tarkvara

• http://nfsen.sourceforge.net/
• http://oss.oetiker.ch/rrdtool/pub/rrdtool-1.2.22.tar.gz

Kasulikud lisamaterjalid

• http://kuutorvaja.eenet.ee/wiki/Nfsen
• http://nfsen.sourceforge.net/
• http://en.wikipedia.org/wiki/Netflow