ADVANTECH Router App Net Flow Pfix

Produktinformationen

Technische Daten

• Hersteller: Advantech Czech sro
• Adresse: Sokolska 71, 562 04 Usti nad Orlici, Tschechische Republik
• Dokumentieren Nr.: APP-0085-DE
• Revision Datum: 19th October, 2023

Beschreibung des Moduls

• Das NetFlow/IPFIX-Modul ist eine Router-App, die von Advantech Czech s.r.o. entwickelt wurde. Es ist nicht in der Standard-Router-Firmware enthalten und muss separat hochgeladen werden.
• Das Modul dient zur Überwachung des Netzwerkverkehrs. Es funktioniert durch das Sammeln von IP-Verkehrsinformationen mithilfe einer Sonde, die auf NetFlow-fähigen Routern installiert ist.
• Diese Informationen werden dann zur weiteren Analyse an einen NetFlow-Sammler und -Analysator übermittelt.

Web Schnittstelle

Sobald das Modul installiert ist, können Sie darauf zugreifen web Schnittstelle, indem Sie auf der Seite „Router-Apps“ Ihres Routers auf den Modulnamen klicken web Schnittstelle. Das web Die Benutzeroberfläche besteht aus einem Menü mit verschiedenen Abschnitten:

Konfiguration

Im Abschnitt „Konfiguration“ können Sie verschiedene Einstellungen der NetFlow/IPFIX-Router-App konfigurieren. Um auf die Konfigurationseinstellungen zuzugreifen, klicken Sie im Hauptmenü des Moduls auf den Eintrag „Global“. web Schnittstelle. Zu den konfigurierbaren Elementen gehören:

• Sonde aktivieren: Diese Option startet die Übermittlung der NetFlow-Informationen an einen Remote-Collector (falls definiert) oder an den lokalen Collector (falls aktiviert).
• Protokoll: Mit dieser Option können Sie das Protokoll auswählen, das für die Übermittlung von NetFlow-Informationen verwendet werden soll. Sie können zwischen NetFlow v5, NetFlow v9 oder IPFIX (NetFlow v10) wählen.
• Motor-ID: Mit dieser Option können Sie die Beobachtungsdomänen-ID (für IPFIX), die Quell-ID (für NetFlow v9) oder die Engine-ID (für NetFlow v5) festlegen. Dies hilft dem Sammler, zwischen mehreren Exporteuren zu unterscheiden. Weitere Informationen finden Sie im Abschnitt zur Engine-ID-Interoperabilität.

Information

Der Abschnitt „Informationen“ enthält Details zum Modul und seinen Lizenzen. Sie können auf diesen Abschnitt zugreifen, indem Sie im Hauptmenü des Moduls auf den Punkt „Informationen“ klicken web Schnittstelle.

Gebrauchsanweisung

Erfasste Informationen

• Das NetFlow/IPFIX-Modul sammelt IP-Verkehrsinformationen von der Sonde des Routers. Dazu gehören Details wie Quell- und Ziel-IP-Adressen, Paketanzahl, Byteanzahl und Protokollinformationen.

Abruf gespeicherter Informationen

• Um die gespeicherten Informationen abzurufen, müssen Sie auf den NetFlow-Kollektor und -Analysator zugreifen, an den das Modul die Daten übermittelt. Der Sammler und Analysator stellt Tools und Berichte zur Analyse und Visualisierung der gesammelten Informationen bereit.

Engine-ID-Interoperabilität

• Mit der Engine-ID-Einstellung in der Konfiguration können Sie eine eindeutige Kennung für Ihren Exporter angeben. Dies ist nützlich, wenn mehrere Exporteure Daten an denselben Collector senden.
• Durch das Festlegen verschiedener Engine-IDs kann der Collector zwischen den von verschiedenen Exporteuren empfangenen Daten unterscheiden.

Verkehrs-Timeouts

• Das Modul stellt keine spezifischen Informationen zu Verkehrszeitüberschreitungen bereit. Bitte beachten Sie die entsprechenden Dokumente oder wenden Sie sich an Advantech Czech s.r.o. für mehr Details.

Zugehörige Dokumente

• Weitere Informationen und detaillierte Anweisungen finden Sie in den folgenden Dokumenten:
• Konfigurationshandbuch
• Weitere zugehörige Dokumentation, bereitgestellt von Advantech Czech s.r.o.

Häufig gestellte Fragen

F: Wer ist der Hersteller von NetFlow/IPFIX?

• A: Der Hersteller von NetFlow/IPFIX ist Advantech Czech s.r.o.

F: Was ist der Zweck von NetFlow/IPFIX?

• A: NetFlow/IPFIX dient zur Überwachung des Netzwerkverkehrs durch das Sammeln von IP-Verkehrsinformationen von NetFlow-fähigen Routern und deren Übermittlung an einen NetFlow-Sammler und -Analysator.

F: Wie kann ich auf die Konfigurationseinstellungen des Moduls zugreifen?

• A: Um auf die Konfigurationseinstellungen zuzugreifen, klicken Sie im Hauptmenü des Moduls auf den Eintrag „Global“. web Schnittstelle.

F: Wofür wird die Engine-ID-Einstellung verwendet?

• A: Mit der Engine-ID-Einstellung können Sie eine eindeutige Kennung für Ihren Exporter angeben, die dem Collector hilft, zwischen mehreren Exportern zu unterscheiden.
• © 2023 Advantech Czech sro Kein Teil dieser Veröffentlichung darf ohne schriftliche Genehmigung in irgendeiner Form oder mit irgendwelchen Mitteln, elektronisch oder mechanisch, einschließlich Fotografie, Aufzeichnung oder einem anderen Informationsspeicher- und -abrufsystem, reproduziert oder übertragen werden.
• Die Informationen in diesem Handbuch können ohne vorherige Ankündigung geändert werden und stellen keine Verpflichtung seitens Advantech dar.
• Advantech Czech sro haftet nicht für Neben- oder Folgeschäden, die sich aus der Bereitstellung, Leistung oder Verwendung dieses Handbuchs ergeben.
• Alle in diesem Handbuch verwendeten Markennamen sind eingetragene Warenzeichen ihrer jeweiligen Eigentümer. Die Verwendung von Warenzeichen oder anderen Bezeichnungen in dieser Veröffentlichung dient ausschließlich Referenzzwecken und stellt keine Billigung durch den Markeninhaber dar.

Verwendete Symbole

• Gefahr – Informationen zur Benutzersicherheit oder möglichen Schäden am Router.
• Aufmerksamkeit – Probleme, die in bestimmten Situationen auftreten können.
• Information – Nützliche Tipps oder Informationen von besonderem Interesse.
• Example - ExampDatei einer Funktion, eines Befehls oder eines Skripts.

Änderungsprotokoll

NetFlow/IPFIX-Änderungsprotokoll

• Version 1.0.0 (2020)
  • Erste Veröffentlichung.
• Version 1.1.0 (2020)
  • Aktualisierter CSS- und HTML-Code, um mit Firmware 6.2.0+ übereinzustimmen.

Beschreibung des Moduls

• Die Router-App NetFlow/IPFIX ist nicht in der Standard-Router-Firmware enthalten. Das Hochladen dieser Router-App ist im Konfigurationshandbuch beschrieben (siehe Kapitel Verwandte Dokumente).
• Die Router-App NetFlow/IPFIX ist für die Überwachung des Netzwerkverkehrs bestimmt. NetFlow-fähige Router verfügen über eine Sonde, die IP-Verkehrsinformationen sammelt und diese an einen NetFlow-Sammler und -Analysator übermittelt.

Diese Router-App enthält:

• NetFlow-Probe, die Informationen an kompatible Netzwerksammler und -analysatoren übermitteln kann, z. G. Die http://www.paessler.com/prtg.
• NetFlow-Kollektor, der die gesammelten Informationen in einem speichert file. Es kann auch NetFlow-Verkehr von anderen Geräten empfangen und speichern.

Web Schnittstelle

• Sobald die Installation des Moduls abgeschlossen ist, kann die GUI des Moduls aufgerufen werden, indem Sie auf der Seite „Router-Apps“ des Routers auf den Modulnamen klicken web Schnittstelle.
• Der linke Teil dieser GUI enthält ein Menü mit den Menüabschnitten „Konfiguration“ und „Information“.
• Der Menüabschnitt „Anpassung“ enthält nur das Element „Zurück“, das vom Modul zurückwechselt web Seite zum Router web Konfigurationsseiten. Das Hauptmenü der GUI des Moduls ist in Abbildung 2 dargestellt.

Konfiguration

Allgemein

• Alle Einstellungen der NetFlow/IPFIX-Router-App können durch Klicken auf den Eintrag „Global“ im Hauptmenü des Moduls konfiguriert werden web Schnittstelle. Ein überview Die Anzahl der konfigurierbaren Elemente ist unten angegeben.

Artikel	Beschreibung
Probe aktivieren	Beginnen Sie mit der Übertragung der NetFlow-Informationen an einen Remote-Collector (sofern definiert) oder an den Local Collector (sofern aktiviert).
Protokoll	Zu verwendendes Protokoll: NetFlow v5, Netflow v9, IPFIX (Net-Flow v10)
Motor-ID	Wert der Beobachtungsdomänen-ID (bei IPFIX, Quell-ID bei NetFlow v9 oder Engine-ID bei NetFlow v5). Dies kann Ihrem Sammler helfen, zwischen mehreren Exporteuren zu unterscheiden. Siehe auch Abschnitt zur Engine-ID-Interoperabilität.

Artikel	Beschreibung
Sampler	(Leer): jeden beobachteten Fluss einreichen; deterministisch: jeden N-ten beobachteten Fluss einreichen; zufällig: wähle zufällig einen von N Flüssen aus; Hash: Hash-zufällig einen von N Flüssen auswählen.
Sampleer Rate	Der Wert von N.
Zeitüberschreitung bei inaktivem Datenverkehr	Senden Sie den Flow, nachdem er 15 Sekunden lang inaktiv war. Der Standardwert ist 15.
Zeitüberschreitung bei aktivem Datenverkehr	Senden Sie den Flow, nachdem er 1800 Sekunden (30 Minuten) lang aktiv war. Der Standardwert ist 1800. Siehe auch Abschnitt zu Verkehrs-Timeouts.
Remote-Kollektor	IP-Adresse eines NetFlow-Sammlers oder -Analysators, an den die gesammelten NetFlow-Verkehrsinformationen übermittelt werden sollen. Port ist optional, Standard 2055. Ziel kann eine durch Kommas getrennte Liste mehrerer IP-Adressen (und Ports) enthalten, um den NetFlow auf zwei oder mehr Collectors/Analysatoren zu spiegeln.
Lokalen Collector aktivieren	Beginnen Sie mit dem Empfang von NetFlow-Informationen von der lokalen Probe (sofern aktiviert) oder von einer Remote-Probe.
Speicherintervall	Gibt das zu rotierende Zeitintervall in Sekunden an fileS. Der Standardwert ist 300s (5min).
Speicherablauf	Legt die maximale Lebensdauer für fest files im Verzeichnis. Ein Wert von 0 deaktiviert die maximale Lebensdauerbegrenzung.
SNMP-Nummern der Schnittstelle speichern	Aktivieren Sie diese Option, um den SNMP-Index der Eingabe-/Ausgabeschnittstelle (%in, %out) zusätzlich zu den Standardinformationen zu speichern, siehe unten.
Speichern Sie die IP-Adresse des nächsten Hops	Aktivieren Sie diese Option, um die IP-Adresse des nächsten Hops des ausgehenden Datenverkehrs (%nh) zu speichern.
Speichern Sie die exportierende IP-Adresse	Aktivieren Sie diese Option, um die IP-Adresse des exportierenden Routers (%ra) zu speichern.
Speichern Sie die exportierende Engine-ID	Aktivieren Sie diese Option, um die Engine-ID des exportierenden Routers (%eng) zu speichern.
Store-Flow-Empfangszeit	Aktivieren Sie diese Option, um die Uhrzeit zu speichernamp wann die Flussinformationen empfangen wurden (%tr).

Tabelle 1: Beschreibung der Konfigurationselemente

Information

Lizenzen Fasst die von diesem Modul verwendeten Open-Source-Software-Lizenzen (OSS) zusammen

Gebrauchsanweisung

Die NetFlow-Daten sollten nicht über WAN gesendet werden, es sei denn, VPN wird verwendet. Die Daten sind nicht von Natur aus verschlüsselt oder verschleiert, sodass eine unbefugte Person sie abfangen und abfangen kann view die Informationen.

Erfasste Informationen

Die folgenden Standardinformationen werden immer von der Sonde gesendet und vom Kollektor gespeichert:

• Zeitamp wann der Datenverkehr zum ersten Mal (%ts) und zum letzten Mal (%te) gesehen wurde, unter Verwendung der Uhr des Probe
• Anzahl der Bytes (%byt) und Pakete (%pkt)
• Verwendetes Protokoll (%pr)
• Nutzungsbedingungen (%tos)
• TCP-Flags (%flg)
• Quell-IP-Adresse (%sa, %sap) und Port (%sp)
• Ziel-IP-Adresse (%da, %dap) und Port (%dp)
• ICMP-Typ (%it)

Folgendes wird ebenfalls gesendet, aber nur auf Anfrage gespeichert (siehe Konfiguration oben):

• SNMP-Index der Ein-/Ausgabeschnittstelle (%in, %out)
• IP-Adresse des nächsten Hops des ausgehenden Datenverkehrs (%nh)
• IP-Adresse (%ra) und Engine-ID (%eng) des exportierenden Routers (Probe)
• Zeitamp wann die Flussinformationen empfangen wurden (%tr), unter Verwendung der Uhr des Kollektors
• Der Wert in Klammern (%xx) gibt den Formatierer an, der mit nfdump zur Anzeige dieses Werts verwendet werden soll (siehe nächstes Kapitel).

Abruf gespeicherter Informationen

• Die Daten werden in /tmp/netflow/nfcapd.yyyymmddHHMM gespeichert, wobei yyyymmddHHMM die Erstellungszeit ist. Das Verzeichnis enthält auch die .nfstat-Datei file, mit dem die Ablaufzeit überwacht wird.
• Ändern Sie dies nicht file. Um den Ablauf zu konfigurieren, verwenden Sie die Admin-GUI.
• Der files können mit dem Befehl nfdump gelesen werden. nfdump [Optionen] [Filter]

Von 192.168.88.100 gesendete UDP-Pakete anzeigen:

• nfdump -r nfcapd.202006011625 „proto udp und src ip 192.168.88.100“
  • Alle Flüsse zwischen 16:25 und 17:25 anzeigen und bidirektionale Flüsse aggregieren (-B):
• nfdump -R /tmp/netflow/nfcapd.202006011625:nfcapd.202006011725 -B
  • Zeigt Engine-Typ/-ID, Quelladresse+Port und Zieladresse+Port für alle Flows an:
• nfdump -r /tmp/netflow/nfcapd.202006011625 -o „fmt:%eng %sap %dap“

Engine-ID-Interoperabilität

• Netflow v5 definiert zwei 8-Bit-Identifikatoren: Engine-Typ und Engine-ID. Probe auf Advantech-Routern sendet nur Engine-ID (0..255). Der Motortyp ist immer Null (0). Daher wird ein mit Engine-ID = 513 (0x201) gesendeter Flow als Engine-Typ/ID = 0/1 empfangen.
• Netflow v9 definiert einen 32-Bit-Bezeichner. Probe auf Advantech-Routern kann jede 32-Bit-Nummer senden, andere Hersteller (z. B. Cisco) teilen die Kennung jedoch in zwei reservierte Bytes auf, gefolgt von Engine-Typ und Engine-ID. Der Empfänger verfolgt den gleichen Ansatz.
• Daher wird ein mit Engine-ID = 513 (0x201) gesendeter Flow als Engine-Typ/ID = 2/1 empfangen.
• IPFIX definiert eine 32-Bit-Kennung. Probe auf Advantech-Routern kann jede 32-Bit-Zahl senden, der lokale Collector speichert diesen Wert jedoch noch nicht. Daher wird jeder Fluss als Motortyp/ID = 0/0 empfangen.
• Empfehlung: Wenn Sie die Engine-ID im lokalen Collector speichern möchten, aktivieren Sie „Exportierende Engine-ID speichern“ in der Konfiguration, verwenden Sie Engine-ID < 256 und vermeiden Sie die Verwendung des IPFIX-Protokolls.
• Verkehrs-Timeouts
• Das Probe exportiert ganze Flows, also alle Pakete, die zusammengehören. Wenn für einen bestimmten Zeitraum keine Pakete beobachtet werden (Zeitüberschreitung bei inaktivem Datenverkehr), gilt der Fluss als abgeschlossen und das Probe sendet Verkehrsinformationen an den Collector.
• Informationen zu a file Die Übertragung erscheint daher im Collector, sobald die Übertragung abgeschlossen ist, was viel Zeit in Anspruch nehmen kann. Wenn die Übertragung zu lange aktiv ist (Active Traffic Timeout), werden mehrere kürzere Datenflüsse angezeigt.
• Zum BeispielampBei einem 30-minütigen Timeout für aktiven Datenverkehr werden bei einer 45-minütigen Kommunikation zwei Datenflüsse angezeigt: ein 30-minütiger und ein 15-minütiger Datenfluss.

Verkehrs-Timeouts

• Das Probe exportiert ganze Flows, also alle Pakete, die zusammengehören. Wenn für einen bestimmten Zeitraum keine Pakete beobachtet werden (Zeitüberschreitung bei inaktivem Datenverkehr), gilt der Fluss als abgeschlossen und das Probe sendet Verkehrsinformationen an den Collector.
• Informationen zu a file Die Übertragung erscheint daher im Collector, sobald die Übertragung abgeschlossen ist, was viel Zeit in Anspruch nehmen kann. Wenn die Übertragung zu lange aktiv ist (Active Traffic Timeout), werden mehrere kürzere Datenflüsse angezeigt. Zum BeispielampBei einem 30-minütigen Timeout für aktiven Datenverkehr werden bei einer 45-minütigen Kommunikation zwei Datenflüsse angezeigt: ein 30-minütiger und ein 15-minütiger Datenfluss.

Zugehörige Dokumente

• Produktbezogene Dokumente erhalten Sie im Engineering Portal unter der Adresse icr.advantech.cz.
• Um die Kurzanleitung, das Benutzerhandbuch, das Konfigurationshandbuch oder die Firmware Ihres Routers zu erhalten, gehen Sie zur Seite „Router-Modelle“, suchen Sie das gewünschte Modell und wechseln Sie zur Registerkarte „Handbücher“ bzw. „Firmware“.
• Die Installationspakete und Handbücher für Router Apps sind auf der Seite „Router Apps“ verfügbar.
• Die Entwicklungsdokumente finden Sie auf der DevZone-Seite.

Dokumente / Ressourcen

ADVANTECH Router App Net Flow Pfix [pdf] Benutzerhandbuch Router App Net Flow Pfix, App Net Flow Pfix, Net Flow Pfix, Flow Pfix, Pfix

Verweise

• Bedienungsanleitung