نيت فلو

الموسوعة الحرة

NetFlow هي ميزة أُضيفت إلى أجهزة توجيه سيسكو حوالي عام 1996، وتتيح جمع بيانات حركة مرور شبكة IP عند دخولها أو خروجها من واجهة الشبكة. من خلال تحليل البيانات التي توفرها NetFlow، يستطيع مسؤول الشبكة تحديد أمور مثل مصدر ووجهة حركة المرور، ونوع الخدمة، وأسباب الازدحام. يتكون إعداد مراقبة التدفق النموذجي (باستخدام NetFlow) من ثلاثة مكونات رئيسية: [ 1 ]

  • مُصدِّر التدفقات : يقوم بتجميع الحزم في تدفقات وتصدير سجلات التدفقات إلى جامع تدفقات واحد أو أكثر.
  • جامع التدفق : مسؤول عن استقبال وتخزين ومعالجة بيانات التدفق الواردة من مصدر التدفق.
  • تطبيق التحليل : يقوم بتحليل بيانات التدفق الواردة في سياق اكتشاف الاختراقات أو تحديد خصائص حركة المرور، على سبيل المثال.

وصف البروتوكول

يمكن لأجهزة التوجيه والمحولات التي تدعم NetFlow جمع إحصائيات حركة مرور IP على جميع الواجهات التي تم تمكين NetFlow عليها، وتصدير تلك الإحصائيات لاحقًا كسجلات NetFlow إلى جامع NetFlow واحد على الأقل - عادةً ما يكون خادمًا يقوم بتحليل حركة المرور الفعلي .

تدفقات الشبكة

يُعرّف معيار Cisco NetFlow الإصدار 5 التدفق على أنه سلسلة أحادية الاتجاه من الحزم التي تشترك جميعها في سبع قيم تحدد مفتاحًا فريدًا للتدفق: [ 2 ]

  1. واجهة الدخول ( SNMP ifIndex)
  2. عنوان IP المصدر
  3. عنوان IP الوجهة
  4. رقم بروتوكول الإنترنت
  5. منفذ المصدر لبروتوكول UDP أو TCP ، و0 للبروتوكولات الأخرى
  6. منفذ الوجهة لبروتوكول UDP أو TCP ، ونوع ورمز بروتوكول ICMP ، أو 0 للبروتوكولات الأخرى
  7. نوع خدمة IP

لاحظ أن واجهة الخروج، أو IP Nexthop أو BGP Nexthops ليست جزءًا من المفتاح، وقد لا تكون دقيقة إذا تغير المسار قبل انتهاء صلاحية التدفق، أو إذا تم إجراء موازنة التحميل لكل حزمة.

يُستخدم هذا التعريف للتدفقات أيضًا لبروتوكول IPv6، ويُستخدم تعريف مماثل لتدفقات MPLS و Ethernet .

تتيح تطبيقات NetFlow أو IPFIX المتقدمة مثل Cisco Flexible NetFlow مفاتيح تدفق محددة من قبل المستخدم.

قد تبدو مخرجات أداة سطر أوامر NetFlow النموذجية ( nfdumpفي هذه الحالة) عند طباعة التدفقات المخزنة كما يلي:

تاريخ بدء التدفق المدة البروتوكول عنوان IP المصدر: المنفذ عنوان IP الوجهة: المنفذ الحزم البايتات التدفقات 2010-09-01 00:00:00.459 0.000 UDP 127.0.0.1:24920 -> 192.168.0.1:22126 1 46 1 2010-09-01 00:00:00.363 0.000 UDP 192.168.0.1:22126 -> 127.0.0.1:24920 1 80 1

تصدير السجلات

يُصدر الموجّه سجل تدفق البيانات عندما يُحدّد انتهاء التدفق. ويتم ذلك من خلال آلية تقادم التدفق: فعندما يرصد الموجّه حركة مرور جديدة لتدفق قائم، يُعيد ضبط عداد التقادم. كما أن إنهاء جلسة TCP في تدفق TCP يُؤدي إلى إنهاء الموجّه للتدفق. ويمكن أيضًا تهيئة الموجّهات لإصدار سجل تدفق البيانات على فترات زمنية ثابتة حتى لو كان التدفق لا يزال جاريًا.

بروتوكول نقل الحزم

تُصدّر سجلات NetFlow عادةً باستخدام بروتوكول بيانات المستخدم ( UDP ) وتُجمع باستخدام مُجمِّع NetFlow. يجب ضبط عنوان IP الخاص بمُجمِّع NetFlow ومنفذ UDP الوجهة على جهاز التوجيه المُرسِل. القيمة الشائعة هي منفذ UDP 2055، ولكن يمكن استخدام قيم أخرى مثل 9555 أو 9995 أو 9025 أو 9026، إلخ.

لأسباب تتعلق بالكفاءة، لا يحتفظ الموجّه عادةً بسجلات التدفقات المُصدّرة مسبقًا، لذا في حال فقدان حزمة NetFlow نتيجةً لازدحام الشبكة أو تلف الحزمة، تُفقد جميع السجلات المُضمّنة نهائيًا. لا يُبلغ بروتوكول UDP الموجّه بالفقدان ليتمكن من إعادة إرسال الحزم. قد يُشكّل هذا مشكلة حقيقية، خاصةً مع NetFlow الإصدارين 8 و9 اللذين يُمكنهما تجميع عدد كبير من الحزم أو التدفقات في سجل واحد. يُمكن أن يُؤثّر فقدان حزمة UDP واحدة تأثيرًا كبيرًا على إحصائيات بعض التدفقات.

لهذا السبب، تستخدم بعض التطبيقات الحديثة لبروتوكول NetFlow بروتوكول نقل التحكم في التدفق ( SCTP ) لتصدير الحزم، وذلك لتوفير حماية ضد فقدان الحزم، والتأكد من استلام قوالب NetFlow v9 قبل تصدير أي سجل ذي صلة. تجدر الإشارة إلى أن بروتوكول TCP غير مناسب لبروتوكول NetFlow، لأن الترتيب الصارم للحزم سيؤدي إلى تخزين مؤقت مفرط وتأخيرات.

تكمن مشكلة بروتوكول SCTP في أنه يتطلب تفاعلاً بين كل مُجمِّع لبيانات NetFlow وكل موجّه يُصدِّرها. وقد تظهر قيود على الأداء إذا كان على الموجّه التعامل مع عدد كبير من مُجمِّعات NetFlow، وإذا كان على مُجمِّع NetFlow التعامل مع عدد كبير من الموجّهات، خاصةً عندما يكون بعضها غير متاح بسبب عطل أو صيانة.

قد لا يكون بروتوكول SCTP فعالاً إذا كان لا بد من تصدير بيانات NetFlow إلى عدة مُجمِّعات مستقلة، بعضها قد يكون خوادم اختبارية معرضة للتعطل في أي لحظة. يسمح بروتوكول UDP بنسخ حزم NetFlow بسهولة باستخدام نقاط الوصول الشبكية أو النسخ المتطابق من الطبقتين الثانية والثالثة. كما يمكن للأجهزة البسيطة عديمة الحالة تصفية أو تغيير عنوان وجهة حزم NetFlow UDP عند الضرورة. ولأن تصدير NetFlow يعتمد بشكل شبه حصري على روابط العمود الفقري للشبكة، فإن فقدان الحزم يكون ضئيلاً في الغالب. وإن حدث، فسيكون في الغالب على الرابط بين الشبكة ومُجمِّعات NetFlow.

رؤوس الحزم

تبدأ جميع حزم NetFlow برأس يعتمد على الإصدار، ويحتوي على الأقل على هذه الحقول:

  • رقم الإصدار (v1، v5، v7، v8، v9)
  • رقم التسلسل للكشف عن الفقد والتكرار
  • الطوابع الزمنية في لحظة التصدير، كوقت تشغيل النظام أو الوقت المطلق.
  • عدد السجلات (الإصدار 5 أو 8) أو قائمة القوالب والسجلات (الإصدار 9)

سجلات

يمكن أن يحتوي سجل NetFlow على مجموعة واسعة من المعلومات حول حركة البيانات في تدفق معين.

يحتوي الإصدار الخامس من NetFlow (وهو أحد أكثر الإصدارات استخدامًا، يليه الإصدار التاسع) على ما يلي:

  • فهرس واجهة الإدخال المستخدم بواسطة SNMP (ifIndex في IF-MIB).
  • مؤشر واجهة الإخراج أو صفر إذا تم إسقاط الحزمة.
  • الطوابع الزمنية لوقت بدء وانتهاء التدفق، بالمللي ثانية منذ آخر عملية تشغيل.
  • عدد البايتات والحزم التي تمت ملاحظتها في التدفق
  • رؤوس الطبقة الثالثة :
  • أرقام منافذ المصدر والوجهة لبروتوكولات TCP وUDP وSCTP
  • بالنسبة لتدفقات TCP، فإن اتحاد جميع علامات TCP التي تمت ملاحظتها طوال فترة التدفق.
  • معلومات توجيه الطبقة الثالثة :
    • عنوان IP الخاص بالقفزة التالية المباشرة (وليس قفزة BGP التالية) على طول المسار إلى الوجهة
    • أقنعة عناوين IP المصدر والوجهة (أطوال البادئات في تدوين CIDR )

بالنسبة لتدفقات ICMP ، يكون منفذ المصدر صفرًا، ويقوم حقل رقم منفذ الوجهة بترميز نوع رسالة ICMP ورمزها (المنفذ = نوع ICMP * 256 + رمز ICMP) .

يمكن لحقول رقم النظام المستقل (AS) المصدر والوجهة أن تُشير إلى نظام الوجهة (آخر نظام مستقل في مسار AS) أو نظام الجوار المباشر (أول نظام مستقل في مسار AS) وذلك بحسب إعدادات الموجه. ولكن سيكون رقم النظام المستقل صفرًا إذا كانت الميزة غير مدعومة، أو كان المسار غير معروف أو لم يُعلن عنه بواسطة بروتوكول BGP، أو كان النظام المستقل هو النظام المستقل المحلي. ولا توجد طريقة واضحة للتمييز بين هذه الحالات.

يمكن أن يتضمن الإصدار التاسع من NetFlow جميع هذه الحقول، ويمكنه اختيارياً تضمين معلومات إضافية مثل تسميات تبديل الملصقات متعددة البروتوكولات (MPLS) وعناوين ومنافذ IPv6 .

من خلال تحليل بيانات التدفق، يمكن تكوين صورة واضحة عن حركة البيانات وحجمها في الشبكة. وقد تطور تنسيق سجل NetFlow بمرور الوقت، ومن هنا جاءت إضافة أرقام الإصدارات. وتحتفظ شركة سيسكو بتفاصيل أرقام الإصدارات المختلفة وبنية الحزم لكل إصدار.

واجهات

يتم عادةً تمكين NetFlow على أساس كل واجهة للحد من الحمل على مكونات جهاز التوجيه المشاركة في NetFlow، أو للحد من كمية سجلات NetFlow المصدرة.

عادةً ما يلتقط NetFlow جميع الحزم التي تتلقاها واجهة IP الواردة، ولكن بعض تطبيقات NetFlow تستخدم مرشحات IP لتحديد ما إذا كان يمكن لـ NetFlow مراقبة حزمة ما.

تسمح بعض تطبيقات NetFlow أيضًا بمراقبة الحزم على واجهة IP الصادرة، ولكن يجب استخدام هذا بحذر: يمكن احتساب جميع التدفقات من أي واجهة دخول مع تمكين NetFlow إلى أي واجهة مع تمكين NetFlow مرتين.

NetFlow المأخوذة عينات منه

صُمم بروتوكول NetFlow القياسي لمعالجة جميع حزم بروتوكول الإنترنت على واجهة معينة. ولكن في بعض البيئات، مثل شبكات الإنترنت الرئيسية، كان ذلك مكلفًا للغاية، نظرًا للمعالجة الإضافية المطلوبة لكل حزمة، والعدد الكبير من التدفقات المتزامنة.

لذلك قدمت شركة سيسكو تقنية NetFlow المعتمدة على العينات في جهاز Cisco 12000 ، وهي الآن مستخدمة في جميع أجهزة التوجيه المتطورة التي تنفذ تقنية NetFlow.

تتم معالجة حزمة واحدة فقط من بين n ، حيث يتم تحديد n ، وهو معدل أخذ العينات، بواسطة تكوين جهاز التوجيه.

تعتمد عملية الاختيار الدقيقة على طريقة التنفيذ:

  • حزمة واحدة لكل حزمة n ، في Deterministic NetFlow، كما هو مستخدم في Cisco's 12000 .
  • يتم اختيار حزمة واحدة عشوائيًا في فاصل زمني قدره n حزمة، في بروتوكول NetFlow ذي العينة العشوائية، المستخدم على أجهزة توجيه Cisco الحديثة.

تتضمن بعض التطبيقات أساليب أكثر تعقيدًا لأخذ عينات من الحزم، مثل أخذ العينات لكل تدفق على أجهزة Cisco Catalysts.

غالبًا ما يكون معدل أخذ العينات متماثلًا لجميع المنافذ، ولكن يمكن تعديله لكل منفذ على حدة في بعض أجهزة التوجيه. عند استخدام NetFlow المأخوذة عينات منه، يجب تعديل سجلات NetFlow لمراعاة تأثير أخذ العينات، حيث تصبح أحجام حركة البيانات، على وجه الخصوص، تقديرية وليست حجم التدفق الفعلي المقاس.

يتم تحديد معدل أخذ العينات في حقل رأس NetFlow الإصدار 5 (نفس معدل أخذ العينات لجميع الواجهات) أو في سجلات الخيارات لـ NetFlow الإصدار 9 (معدل أخذ العينات لكل واجهة).

الإصدارات

إصدارتعليق
الإصدار 1التنفيذ الأول، أصبح الآن قديمًا، ومقتصرًا على IPv4 (بدون قناع IP وأرقام AS ).
الإصدار الثانينسخة داخلية من سيسكو، لم يتم إصدارها مطلقاً.
الإصدار 3نسخة داخلية من سيسكو، لم يتم إصدارها مطلقاً.
الإصدار الرابعنسخة داخلية من سيسكو، لم يتم إصدارها مطلقاً.
الإصدار 5الإصدار الأكثر شيوعًا، والمتوفر (اعتبارًا من عام 2009) على العديد من أجهزة التوجيه من مختلف العلامات التجارية، ولكنه يقتصر على تدفقات IPv4 .
الإصدار 6لم يعد مدعومًا من قبل سيسكو. معلومات التغليف (؟).
الإصدار 7يشبه الإصدار 5 مع حقل جهاز التوجيه المصدر. يُستخدم (فقط؟) على محولات سيسكو كاتاليست.
محرك V8توجد عدة نماذج تجميع، ولكن فقط للمعلومات الموجودة بالفعل في سجلات الإصدار 5
الإصدار 9يعتمد على القوالب، وهو متوفر (اعتبارًا من عام 2009) على بعض أجهزة التوجيه الحديثة. يُستخدم في الغالب للإبلاغ عن تدفقات مثل IPv6 و MPLS أو حتى IPv4 العادي مع BGP nexthop.
الإصدار 10يُستخدم لتحديد IPFIX . على الرغم من أن IPFIX يعتمد بشكل كبير على NetFlow، إلا أن الإصدار 10 لا علاقة له بـ NetFlow.

NetFlow و IPFIX

طُبّق بروتوكول NetFlow في البداية من قِبل شركة سيسكو، ووُصف في وثيقة "إرشادية" لم تكن ضمن مسار المعايير: RFC 3954 - إصدار تصدير خدمات NetFlow من سيسكو سيستمز 9. وقد حلّ بروتوكول IPFIX (تصدير معلومات تدفق بروتوكول الإنترنت ) محلّ بروتوكول NetFlow نفسه. واستنادًا إلى تطبيق NetFlow الإصدار 9، أصبح IPFIX ضمن مسار معايير IETF مع RFC 5101 (الذي أصبح الآن قديمًا بحلول RFC 7011)، وRFC 5102 (الذي أصبح الآن قديمًا بحلول RFC 7012)، وغيرها، والتي نُشرت في عام 2008.

المكافئات

يُقدّم العديد من المورّدين الآخرين غير سيسكو تقنيات مماثلة لمراقبة تدفق الشبكة. ولعلّ اسم NetFlow شائع في مجال مراقبة التدفق، نظرًا لحصة سيسكو المهيمنة في سوق صناعة الشبكات. ويُعتقد أن NetFlow علامة تجارية مسجلة لشركة سيسكو (مع أنها غير مدرجة في قائمة علامات سيسكو التجارية [ 3 ] حتى مارس 2012 ).

كما تتيح مجموعة برامج flow-tools [ 5 ] معالجة وإدارة عمليات تصدير NetFlow من أجهزة توجيه Cisco و Juniper. [ 6 ]

يدعم

البائع والنوعنماذجإصدار NetFlowتطبيقتعليقات
أجهزة توجيه Cisco IOS-XRCRS ، ASR9000 القديم 12000الإصدار 5، الإصدار 8، الإصدار 9برنامج يعمل على وحدة المعالجة المركزية لبطاقة الخطدعم شامل لبروتوكول IPv6 و MPLS
أجهزة توجيه Cisco IOS10000، 7200، 7500 القديمالإصدار 5، الإصدار 8، الإصدار 9برنامج يعمل على معالج التوجيهيتطلب دعم IPv6 أو MPLS طرازًا حديثًا ونظام تشغيل IOS
محولات سيسكو كاتاليست7600، 6500، 4500الإصدار 5، الإصدار 8، الإصدار 9ذاكرة TCAM مخصصة للأجهزة، وتستخدم أيضًا لقوائم التحكم بالوصول (ACLs).يدعم الطرازان RSP720 و Sup720 المتطوران بروتوكول IPv6، ولكن بحد أقصى 128 ألف أو 256 ألف تدفق لكل بطاقة PCF. [ 7 ]
محولات سيسكو نيكسوس5600، 7000، 7700الإصدار 5، الإصدار 9ذاكرة TCAM مخصصة للأجهزة، تُستخدم أيضًا لقوائم التحكم بالوصول (ACLs). تدعم ما يصل إلى 512 ألف تدفق. تدعم IPv4/IPv6/L2.بروتوكول MPLS غير مدعوم
أجهزة التوجيه القديمة من جونيبرسلسلة M ، وسلسلة T ، وسلسلة MX مع DPCالإصدار 5، الإصدار 8برنامج يعمل على محرك التوجيه، ويسمى برنامج jflowلا يدعم IPv6 و MPLS
أجهزة التوجيه القديمة من جونيبرسلسلة M ، وسلسلة T ، وسلسلة MX مع DPCالإصدار 5، الإصدار 8، الإصدار 9البرنامج الذي يعمل على وحدة التحكم الدقيقة للخدمة، ويسمى تدفق الأجهزة أو أخذ العيناتيدعم كل من MS-DPC و MultiService-PIC و AS-PIC2 بروتوكول IPv6 أو MPLS
أجهزة توجيه جونيبرسلسلة MX مع MPC-3D، وFPC5 لجهاز T4000الإصدار 5، IPFIXالمكونات المادية (مجموعة شرائح ثلاثية)، تسمى تدفق j المضمنيتطلب IPv6 نظام التشغيل JUNOS 11.4R2 (هدف المنفذ الخلفي)، ودعم MPLS غير معروف، وMPC3E مستبعد حتى الإصدار 12.3، وحقل وقت البدء غير الصحيح يتسبب في نتيجة إنتاجية بيانات غير صحيحة [ 8 ]
أجهزة توجيه نوكيا7750SRالإصدارات 5، 8، 9، 10 من IPFIXبرنامج يعمل على وحدة المعالجة المركزيةIPv6 أو MPLS باستخدام بطاقات خط IOM3 أو أفضل
أجهزة توجيه هواويNE5000E NE40E/X NE80Eالإصدار 5، الإصدار 9برنامج يعمل على بطاقات الخدمةالدعم لبروتوكول IPv6 أو MPLS غير معروف
محولات إنتراسيسسلسلة S [ 9 ] وسلسلة N [ 10 ]الإصدار 5، الإصدار 9أجهزة مخصصةدعم IPv6 غير معروف
مجسات فلومونمسبار فلومون 1000، 2000، 4000، 6000، 10000، 20000، 40000، 80000، 100000الإصدار 5، الإصدار 9، IPFIXتسريع بواسطة البرامج أو الأجهزةدعم شامل لبروتوكول IPv6 و MPLS، وسرعة نقل البيانات عبر الأسلاك
محولات نورتلمفتاح توجيه إيثرنت من سلسلة 5500 (ERS5510 و5520 و5530) و8600 (المبني على الهيكل)الإصدار 5، الإصدار 9، IPFIXبرنامج يعمل على وحدة المعالجة المركزية لبطاقة الخطدعم شامل لبروتوكول IPv6
أجهزة الكمبيوتر والخوادملينكس، فري بي إس دي، نت بي إس دي، أوبن بي إس ديالإصدار 5، الإصدار 9، IPFIXبرامج مثل fprobe، [ 11 ] ipt-netflow، [ 12 ] pflow، [ 13 ] flowd، [ 14 ] Netgraph ng_netflow [ 15 ] أو softflowdيعتمد دعم IPv6 على البرنامج المستخدم
خوادم VMwarevSphere 5.x [ 16 ]الإصدار 5، IPFIX (>5.1) [ 17 ]برمجةدعم IPv6 غير معروف
نظام تشغيل الراوتر Mikrotikنظام تشغيل التوجيه 3.x، 4.x، 5.x، 6.x [ 18 ]v1، v5، v9، IPFIX (>6.36RC3)البرامج وأجهزة لوحة التوجيهيدعم الإصدار 9 بروتوكول IPv6. حاليًا، لا يتضمن نظام التشغيل RouterOS أرقام BGP AS.

المتغيرات

تسجيل أحداث أمان NetFlow من سيسكو

تم تقديم ميزة تسجيل أحداث الأمان عبر NetFlow مع إطلاق منتجات Cisco ASA 5580، وهي تستخدم حقول وقوالب NetFlow v9 لتوفير بيانات قياس الأمان بكفاءة عالية في بيئات الأداء العالي. تتميز ميزة تسجيل أحداث الأمان عبر NetFlow بقابلية توسع أفضل من syslog مع توفير نفس مستوى التفاصيل والدقة في الأحداث المسجلة.

المراقبة القائمة على المجسات المستقلة

بنية NetFlow باستخدام مجسات مستقلة.

يُعدّ جمع بيانات NetFlow باستخدام مجسات NetFlow المستقلة بديلاً لجمع البيانات من أجهزة التوجيه والمحولات. يُمكن لهذا الأسلوب التغلب على بعض قيود مراقبة NetFlow القائمة على أجهزة التوجيه. تتصل المجسات بشفافية بالرابط المراد مراقبته كجهاز سلبي باستخدام منفذ TAP أو SPAN الخاص بالجهاز.

تاريخياً، يُعدّ تطبيق مراقبة NetFlow أسهل في جهاز فحص مخصص مقارنةً بجهاز التوجيه. ومع ذلك، فإنّ هذا النهج له بعض العيوب أيضاً:

  • يجب نشر المجسات على كل رابط يجب مراقبته، مما يتسبب في تكاليف إضافية للأجهزة والإعداد والصيانة.
  • لن تقوم المجسات بالإبلاغ عن معلومات واجهة الإدخال والإخراج بشكل منفصل كما يفعل التقرير الصادر من جهاز التوجيه.
  • قد تواجه المجسات مشاكل في الإبلاغ بشكل موثوق عن حقول NetFlow المتعلقة بالتوجيه، مثل أرقام AS أو أقنعة IP ، لأنه من الصعب توقع أن تستخدم نفس معلومات التوجيه التي يستخدمها جهاز التوجيه بالضبط.

أسهل طريقة لمعالجة العيوب المذكورة أعلاه هي استخدام جهاز التقاط حزم البيانات قبل جهاز التوجيه، والتقاط جميع مخرجات NetFlow الصادرة منه. تتيح هذه الطريقة تخزين كميات كبيرة من بيانات NetFlow (عادةً ما تكفي لسنوات عديدة) ولا تتطلب إعادة تهيئة الشبكة.

يُعد جمع بيانات NetFlow من المجسات المخصصة مناسبًا تمامًا لمراقبة الروابط الحرجة، في حين أن NetFlow على أجهزة التوجيه يوفر رؤية شاملة لحركة البيانات على مستوى الشبكة والتي يمكن استخدامها لتخطيط السعة والمحاسبة ومراقبة الأداء والأمان.

تاريخ

كانت تقنية NetFlow في الأصل تقنية تحويل حزم بيانات من سيسكو لأجهزة توجيه سيسكو، تم تطبيقها في نظام التشغيل IOS 11.x حوالي عام 1996. وكانت في الأصل تطبيقًا برمجيًا لأجهزة سيسكو 7000 و7200 و7500، [ 19 ] حيث اعتُبرت تحسينًا لتقنية التحويل السريع من سيسكو السائدة آنذاك. وقد اخترع تقنية NetFlow دارين كير وباري بروين [ 20 ] من شركة سيسكو ( براءة اختراع أمريكية رقم 6,243,667 ).

كانت الفكرة أن الحزمة الأولى من التدفق تُنشئ سجل تحويل NetFlow. يُستخدم هذا السجل بعد ذلك لجميع الحزم اللاحقة من نفس التدفق، حتى انتهاء صلاحية التدفق. تتطلب الحزمة الأولى فقط من التدفق فحص جدول التوجيه للعثور على المسار المطابق الأكثر تحديدًا. تُعد هذه عملية مُكلفة في تطبيقات البرمجيات، وخاصةً القديمة منها التي لا تحتوي على قاعدة معلومات التوجيه . كان سجل تحويل NetFlow في الواقع نوعًا من سجلات ذاكرة التخزين المؤقت للمسارات، ولا تزال الإصدارات القديمة من نظام التشغيل IOS تُشير إلى ذاكرة التخزين المؤقت لـ NetFlow باسم ip route-cache .

كانت هذه التقنية مفيدة للشبكات المحلية. وقد كان هذا صحيحًا بشكل خاص إذا كان لا بد من تصفية بعض حركة البيانات بواسطة قائمة التحكم بالوصول (ACL) ، حيث كان يتعين تقييم الحزمة الأولى فقط من التدفق بواسطة قائمة التحكم بالوصول. [ 21 ]

سرعان ما تبين أن تبديل NetFlow غير مناسب لأجهزة التوجيه الكبيرة، وخاصة أجهزة التوجيه الأساسية للإنترنت، حيث كان عدد التدفقات المتزامنة أكثر أهمية بكثير من تلك الموجودة على الشبكات المحلية، وحيث تتسبب بعض حركة المرور في العديد من التدفقات قصيرة الأجل، مثل طلبات نظام أسماء النطاقات (التي يكون منفذ المصدر الخاص بها عشوائيًا لأسباب أمنية).

كتقنية تحويل، تم استبدال NetFlow في حوالي عام 1995 بتقنية Cisco Express Forwarding . ظهرت هذه التقنية لأول مرة على أجهزة توجيه Cisco 12000، وحلت لاحقًا محل تقنية تحويل NetFlow على أنظمة التشغيل IOS المتقدمة لأجهزة Cisco 7200 و Cisco 7500.

حتى عام 2012، كانت تقنيات مشابهة لتقنية تحويل NetFlow لا تزال مستخدمة في معظم جدران الحماية وأجهزة توجيه بروتوكول الإنترنت البرمجية. على سبيل المثال، ميزة conntrack في إطار عمل Netfilter المستخدم في نظام Linux .

RFCs

انظر أيضاً

مراجع

  1. ↑ هوفستيد، ريك؛ تشيليدا، بافيل؛ تراميل، برايان؛ دراغو، إيديليو؛ صدري، رامين؛ سبيروتو، آنا؛ براس، أيكو (2014). "شرح مراقبة التدفق: من التقاط الحزم إلى تحليل البيانات باستخدام NetFlow وIPFIX" . مجلة IEEE للمسح والدروس التعليمية في مجال الاتصالات . 16 (4): 2037-2064 . doi : 10.1109/COMST.2014.2321898 . S2CID 14042725 . 
  2. ↑ "InterProjektWiki: NetFlow" . مؤرشف من الأصل بتاريخ 22-02-2017.
  3. ↑ "علامات سيسكو التجارية" .
  4. ↑ "منتجات sFlow: معدات الشبكة" . sFlow.org.
  5. ↑ "Adsr/Flow-tools" . GitHub . 5 أكتوبر 2021.
  6. ↑ "Adsr/Flow-tools" . GitHub . 5 أكتوبر 2021.
  7. ↑ "خصائص NetFlow لجهاز Cisco RSP720 Sup720" . cisco.com. يوليو 2010. تم الاطلاع عليه بتاريخ 8 مارس 2012 .
  8. ↑ "عدد النبضات في الثانية وعدد البتات في الثانية غير صحيحين في برنامج Juniper j-flow" . أغسطس 2012. تم الاطلاع عليه بتاريخ 17 مارس 2016 .
  9. ↑ "NetFlow على سلسلة Enterasys S" (ملف PDF) . enterasys.com. فبراير 2012. تاريخ الاسترجاع: 4 مارس 2012 .
  10. ↑ "NetFlow على سلسلة Enterasys N" (ملف PDF) . enterasys.com. فبراير 2012. تم الاطلاع عليه بتاريخ 4 مارس 2012 .
  11. ↑ "fprobe" .
  12. ↑ "ipt-netflow" .
  13. ↑ هينينغ براور؛ يورغ غولترمان (29-03-2014). "pflow — واجهة نواة لتصدير بيانات pflow" . مرجع BSD المتقاطع . OpenBSD . تم الاسترجاع في 09-08-2019 .
  14. ↑ "flowd-0.9.1.20140828 – جامع بيانات NetFlow" . منافذ OpenBSD . 17 يوليو 2019. تاريخ الاسترجاع: 9 أغسطس 2019 .
  15. ↑ غليب سميرنوف (2005). "ng_netflow — تطبيق NetFlow من سيسكو" . مرجع BSD المتقاطع . FreeBSD . تم الاسترجاع في 9 أغسطس 2019 .
  16. ↑ "ميزات الشبكات الجديدة في vSphere 5 - NetFlow - مدونة VMware vSphere" . 15 أغسطس 2011.
  17. ↑ "الورقة البيضاء التقنية لشبكة vSphere 51" (ملف PDF) . vmware.com . تم الاطلاع عليها في 1 يوليو 2023 .
  18. ↑ "دليل: تدفق عناوين IP/حركة البيانات - ويكي ميكروتيك" . مؤرشف من الأصل بتاريخ 18-03-2016 . تم الاطلاع عليه بتاريخ 03-08-2012 .
  19. ↑ "وحدة ميزات تحسينات تبديل NetFlow [ إصدارات برامج Cisco IOS 11.1 ] - أنظمة Cisco" . www.cisco.com . مؤرشف من الأصل بتاريخ 21-12-2009.
  20. ↑ "حلول الشبكات والحوسبة السحابية والأمن السيبراني" . سيسكو . تم الاطلاع عليه في 1 يوليو 2023 .
  21. ↑ "NetFlow وsFlow وقابلية توسيع التدفق، الجزء 1" . مدونة كينتيك . 28 مارس 2016. تم الاطلاع عليه في 1 يوليو 2023 .
  22. ↑ فال، بيتر؛ لافين، مارك (يوليو 2004). "sFlow الإصدار 5" . sFlow.org . تم الاسترجاع في 23 أكتوبر 2010 .