NetFlow と IPFIX の監視

NetFlow とは何か？

NetFlow は、Cisco が IP トラフィック情報を収集し、ネットワークテレメトリデータを監視するために独自に開発したネットワーク標準です。NetFlow 対応のスイッチまたはルーター、いわゆるエクスポーターは、帯域幅の使用状況、通信パートナー、クライアントアクティビティの全体像を提供する、集約されたトラフィック統計情報を生成します。

よく使用されるバージョンとして NetFlow v5 があり、NetFlow v9 でテンプレート・ベースになりました。J-Flow、sFlow、NetStream など様々な独自プロトコルも出現する中で、NetFlow v9 をベースに多くのベンダー機器で使用できるよう、また取得可能な情報も増やして標準化され、IPFIX (IP Flow Information eXport) が登場しました。

NetFlow はどう使用されるか？

ネットワークトラフィックの監視は、パケットから抽象化する際の基礎となるデータ転送と、通信自体の主題の両方に関する統計を生成します (通信の内容は保存されません)。これらの統計情報は、ネットワーク内のフローデータを表しており、通話のリストに似ていると考えることができます。これらの情報から、誰が、誰と、いつ、どのくらいの時間、どのくらいの頻度で通信しているかを把握することができます。IP アドレス、データ量、時間、ポート、プロトコルを監視し、プロトコルの遅延測定とアプリケーション層データでさらに強化できます。

SNMP と NetFlow/IPFIX の比較

SNMP (Simple Network Management Protocol、簡易ネットワーク管理プロトコル) は、もともとネットワーク管理のために設計された、IT インフラストラクチャリソース用の標準プロトコルであり、ネットワーク接続デバイスからデータを収集し、その可用性とステータス (CPU と RAM の使用率、ネットワークデバイスが消費する帯域幅など) に関する情報を提供します。管理対象デバイスで実行されているエージェントは、要求された情報を SNMP 経由でマネージャに報告します。

NetFlow や IPFIX に代表されるフローデータテクノロジーは、ネットワーク運用アプリケーションやセキュリティアプリケーションを使用したネットワーク監視専用のパッシブでエージェントレスのテクノロジーです。誰が、誰と、いつ、どのくらいの時間、どのくらいの頻度で通信するかに関する包括的な情報 (IP アドレス、データ量、時間、ポート、プロトコル、L3/L4 ネットワーク層における TCP/IP 通信のその他の技術的特性) を提供します。NetFlow を使用したネットワークトラフィックの監視では、基礎となるデータ転送と通信自体の主題の両方に関する統計が生成されます (通信の内容は保存されません)。

予期しないトラフィック異常が発生し、ネットワークトラフィックが急激に増大した状況を例にとって、両者の違いを説明します。SNMP は、ネットワークインタフェースでパケット数と転送データ量の増加に関する情報を管理者に提供します。ですが、その異常が何に起因しているか、トラフィック増加を起こしているデバイスは何か、関係するプロトコルとサービスは何か、といったような疑問には、従来の SNMP インフラストラクチャ監視では答えられません。ネットワークトラフィック自体をチェックすることがないので、その状況に関する情報がないからです。NetFlow テクノロジーは、こういった疑問に答えることができます。

フロー対応デバイス

ネットワーク機器 (ルーター/スイッチ)

Cisco、HP、Huawei、Juniper Networks、Alcatel、Exteme Networks など

ファイアウォール、UTM、ロードバランサー、ハイパーバイザー

Check Point、Palo Alto、Sonic Wall、VMware、 Kemp LoadMaster など

パケットブローカーとマトリクススイッチ

Ixia、Gigamon、Cubro など