موضوع مقاله: نت‌فلو | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # نت‌فلو | مقدمه: در حال حاضر نت فلو به یک استاندارد صنعتی برای مانیتورینگ ترافیک شبکه تبدیل شده که توسط پلت فرم‌هایی دیگر پشتیبانی می‌شود، در ادامه پشتیبانی نت فلو را می‌بینیم. | ## بخش 1: نت‌فلو | شرح پروتکل روتر و سوییچ‌هایی که از نت فلو پشتیبانی می‌نمایند قادر هستند تا اطلاعات ترافیکIP را بر روی اینترفیس‌هایی که نت فلو آن فعال است را جمع‌آوری نمایند و سپس این اطلاعات را به عنوان یک رکورد نت فلو به حداقل یک جمع آورکننده نت فلو که معمولاً یک سرور برای آنالیز اطلاعات می‌باشد، ارسال نمایند. در نسخه ۵ استاندارد سیسکو یک جریان (Flow) به صورت رشته‌ای از بسته‌های هم جهت می‌باشد که ۷ مقدار زیر در آن‌ها مشترک می‌باشد. نت فلو پیشرفته یا پیاده‌سازی IPFIX، شبیه نت فلو انعطاف‌پذیر سیسکو، به کاربر اجازه تعریف کلیدهای دیگر برای فلو می‌دهد. ارسال سوابق نت فلو روتر هنگامی که مشخص کند یک جریان (Flow) پایان یافته، سوابق فلو را تولید می‌نماید. روتر با مشاهده ترافیک جدید برای فلو موجود، شمارنده aging را صفر می‌نماید و همچنین خاتمه یک نشست TCP منجر به انقضا فلو توسط روتر می‌گردد. پروتکل لایه انتقال نت فلو سوابق نت فلو توسط قرارداد داده‌نگار کاربر(UDP) ارسال می‌گردد و توسط یک کالکتور نت فلو جمع‌آوری می‌گردد. مقدار استاندارد برای پورت UDP 2055 می‌باشد ولی مقادیر دیگر مانند ۹۵۵۵ یا ۹۹۹۵ نیز به کار می‌رود. به خاطر مسئله کارایی، روترها به‌طور معمول اثری از فلوهای ارسال شدهٔ خود نگه نمی‌دارند، بنابراین اگر یک بستهٔ نت فلو به دلیل کنترل ازدحام در شبکه یا دست خوردگی بسته دور انداخته شود، برای همیشه آن بسته را از دست خواهیم داد. پروتکل UDP روتر را از واقعه از بین رفتن بسته‌ها مطلع نمی‌نمایدو روتر به ارسال بسته‌ها ادامه می‌دهد. این یک مشکل جدی می‌باشد، مخصوصاً برای نسخه‌های V8 و V9 نت فلو که بسته‌ها و فلوها را به صورت مجموعه‌ای بزرگ در یک رکورد ذخیره می‌نماید. در صورتی که بسته‌ها را از دست بدهیم تأثیر عظیمی بر روی آمار فلوها ایجاد می‌نماید. به همین دلیل است که پیاده‌سازی‌های جدید نت فلو از پروتکل انتقال کنترل جریان (SCTP) برای ارسال بسته‌ها استفاده می‌نمایند به‌طوری‌که در برابر از دست دادن بسته‌ها حمایت و نگهداری می‌نماید و این اطمینان را در نسخهٔ V9 نت فلو می‌دهد قبل از ارسال هر بسته نمونه‌های فبلی به مقصد رسیده‌اند. قابل توجه اینکه پروتکل TCP برای نت فلو مناسب نمی‌باشد زیرا ترتیب دقیق بسته‌های اطلاعاتی تأخیر و بافر زیادی می‌طلبد. مشکلی که در استفاده از پروتکل SCTP وجود دارد لزوم برهم کنش میان هر کالکتور نت فلو و روترهای ارسال‌کننده می‌باشد. | ## بخش 2: نت‌فلو | این ممکن است منجر به محدودیت در کارایی عملکرد شود اگر روتر بخواهد با چندین کالکتور نت فلو رفتار نماید و برعکس؛ به خصوص در حالتی که برخی از این‌ها غیرقابل دسترس باشند. تجهیزات ساده قادر هستند تا بسته‌های UDP نت فلو را فیلتر یا آدرس مقصد را تغییر دهند. چون ارسال‌کننده نت فلو معمولاً لینک‌های ستون فقرات شبکه را به کار می‌برند، از دست دادن بسته اغلب از آن صرف نظر می‌شود. سرآیند بسته‌های نت فلو همهٔ بسته‌های نت فلو با سرآیند نسخه وابسته به بسته شروع می‌شود و حداقل دارای مقادیر زیر می‌باشند: شماره نسخه (V5,V8,V9,V10) شماره ترتیب جهت شناسایی گم شدن بسته یا تکراری بودن آن مهر زمانی در لحظه ارسال بسته به عنوان uptime سیستم یا زمان مطلق تعداد رکوردها (V8 یا V9) یا لیست نمونه‌ها و رکوردها رکوردهای نت فلو یک رکورد نت فلو می‌تواند شامل اطلاعات مختلفی دربارهٔ ترافیک در فلو موجود باشد. نسخه ۵ نت فلو (به عنوان یکی از رایجترین نسخه‌های مورد استفاده) شامل موارد زیر می‌باشد: ایندکس اینترفیس ورودی استفاده شده توسط پروتکل آسان مدیریت شبکه(SNMP) ایندکس اینترفیس ورودی یا مقدار صفر برای بسته‌های دور ریخته شده مهر زمانی شروع و خاتمه فلو در چند میلی‌ثانیه از آخرین زمان بوت تعداد بایت‌ها و بسته‌هایی که در فلو مشاهده شده‌است. اما شماره AS در صورتی که این ویژگی پشتیبانی نشود صفر می‌گردد، مسیر ناشناخته باشد یا توسط BGP تبلیغ نشده یا AS یک AS محلی باشد. نسخهٔ ۹ نت فلو شامل تمامی این فیلدها می‌باشد و می‌تواند شامل اطلاعات اضافی مانند تعویض برچسب چندپروتکلی (MPLS) و آدرس IPV6 باشد. با آنالیز داده‌های فلو یک تصویر از ترافیک فلو و حجم ترافیک در شبکه قابل ساخت است. اینترفیس‌های نت فلو نت فلو برای ایجاد محدودیت در میزان بار درگیر در اجزار روتر یا محدودیت در میزان رکوردهای ارسالی بر روی هر اینترفیس فعال می‌گردد. نت فلو معمولاً تمام بسته‌های IP در اینترفیس ورودی را ضبط می‌نماید ولی دارای این قابلیت نیز می‌باشد که فیلتری بر روی بسته‌های قرار داده و این تصمیم را بگیرد که نت فلو برای کدام بسته‌های ورودی فعال باشد. نت فلو نمونه گزین استاندارد نت فلو برای پردازش تمام بسته‌های رسیده بر روی اینترفیس طراحی شده‌است. با این وجود در بعضی از محیط‌ها مانند ستون فقرات(backbone) اینترنت به دلیل حجم زیاد فلوهای جاری و نیاز به پردازش اضافی برای هر پاکت، هزینه‌های بسیاری را ایجاد می‌نماید؛ بنابراین سیسکو نت فلو نمونه گزین رو بر روی محصولات سیسکو ۱۲۰۰ معرفی نموده‌است و هم‌اکنون بر روی روترهای انتهایی پیاده‌سازی شده‌است. فرایند انتخاب بسته به پیاده‌سازی: در نت فلو قطعی از هر n بسته، یک نمونه انتخاب می‌گردد که در محصولات سیسکو ۱۲۰۰۰ استفاده شده‌است. در نت فلو تصادفی یک بسته یه صورت تصادفی از میان هر n بسته انتخاب می‌گردد که در روترهای جدید سیسکو از این پیاده‌سازی استفاده شده‌است. | ## بخش 3: نت‌فلو | نرخ نمونه برداری اغلب برای همه اینترفیس‌ها یکسان است، ولی می‌تواند برای هر اینترفیس در برخی روترها تنظیم گردد. وقتی از نت فلو نمونه گزین استفاده شود بسیاری از مقادیر مانند حجم ترافیک باید اثر نمونه‌گیری تنظیم گردد و مقدار واقعی آن تخمین زده شود. نرخ نمونه برداری در سرآیند نسخه ۵ نت فلو برای همه اینترفیس‌ها به‌طور یکسان مشخص می‌گردد و در نسخه ۹ نت فلو در option می‌توان برای هر اینترفیس به‌طور جداگانه تنظیم نمود. نسخه‌های نت فلو نسخهتوضیحاتv1اولین پیاده‌سازی، اکنون کنار گذاشته شده‌است و محدود به IPV4.v2نسخه داخلی سیسکو، منتشر نگردید.v3نسخه داخلی سیسکو، منتشر نگردید.v4نسخه داخلی سیسکو، منتشر نگردید.v5متداول‌ترین نسخه، از سال ۲۰۰۹ ارائه شده و بر روترها از برندهای گوناگون در دسترس می‌باشد و محدود به فلوهای IPV4 می‌باشد.v6دیگر توسط سیسکو پشتیبانی نمی‌شود.v7شبیه به نسخه ۵ یا فیلد روتر مبدأ و در سوییچ‌های سیسکو استفاده شده‌است.v8دارای چندین نوع تجمیع، قابل استفاده برای اطلاعات رکوردهای نسخه ۵v9از سال ۲۰۰۹ بر روی روترهای جدید در دسترس می‌باشد و برای گزارش فلوهایی مثل IPV6،MPLS یا IPV4 ساده با nexthop BGP.v10استاندارد شده نسخه ۹ توسط IETF. معادل‌های نت فلو بسیاری از عرضه‌کنندگان به غیر از سیسکو از تکنولوژی هم ارز در روترها و سوییچ‌های خود با نام‌های دیگر استفاده می‌نمایند. از لحاظ تاریخی مونیتور نت فلو بسیار راحت‌تر از پیاده‌سازی یک probe در یک روتر می‌باشد. با این حال، این رویکرد دارای معایب زیر نیز می‌باشد: Probها باید بر روی هر لینک مستقر شوند که این نیز خود موجب هزینه‌ها، سخت‌افزار و نگهداری اضافی می‌شود. PROBها ممکن است گزارشی قابل اعتماد مرتبط با فیلدهای مسیریابی مانند شماره سیستم خودمختار(AS) یا ماسک IP ندهند زیرا به سختی می‌توان از آن‌ها انتظار به کاربردن اطلاعات مسیریابی روتر را داشت. تاریخچه نت فلوها در اصل یک تکنولوژی مبتنی بر سوییچ بسته برای روترهای سیسکو می‌باشد که در IOS 11.x در حوالی سال ۱۹۹۰ پیاده‌سازی شد. نت فلو در واقع نرم‌افزاری است که برای روترهای سیسکو ۷۲۰۰٬۷۰۰۰ و ۷۵۰۰ در جایی که در سوییچینگ سریع سیسکو بهبود ایجاد شده بود، پیاده‌سازی گردید. این رکورد برای پاکت‌های بعدی آن فلو تا زمان انقضای فلو مورد استفاده قرار می‌گیرد. آنجایی که به‌طور هم‌زمان فلوهای زیادی وجود دارد که اهمیت بعضی از آن‌ها نسبت به بقیه مانند ترافیک محلی و ترافیک‌های دارای مدت عمر کوتاه مثل DNS بیشتر می‌باشد. این اولین بار در روترهای ۱۲۰۰ سیسکو ظاهر شد و بعدها با چایگزین شدن IOS پیشرفته در روترهای ۷۲۰۰٬۷۵۰۰ به کار گرفته شد. | ## جمع‌بندی | در سال ۲۰۱۲ تکنولوژی‌هایی شبیه نت فلو در فایروال‌ها و نرم‌افزارهای مبتنی بر IP روترها به کار رفته‌است.