Netflow一点简单测试心得

randiliu

不知道在这个版发帖是否合适。为了下载资料，分享一下netflow的一点简单的测试心得

cisco设备大都支撑netflow功能，也就是发送netflow格式的数据包到指定的接收端（Netflow Collector）。
这种netflow格式数据包中，包含了某端口的流量的大部分信息，个人理解，就是把会话记录包头信息整理了一下，转发给第三方netflow接收端。syslog也有等同的功能（如果把syslog的level制订低一些的话），但是syslog存档后是txt按行显示，远没有netflow接收工具的图形化界面详细。对于繁忙的接口，如果同时发送syslog和netflow信息的话，势必对设备的CPU和内存占用造成影响。因此，通常建议，以netflow形式发送的信息，不再重复发送syslog。

目前市场上比较主流的windows系统下的netflow collector有几种：

1. ManageEngine Netflow Analyzer
2. Scrutinizer Netflow & sFlow Analyzer
3. Solarwinds Netflow Traffic Analyzer

3种工具都有试用版下载。

试用ManageEngine Netflow Analyzer，安装的7.0版本。
1.App是试用版，30天试用期，流量数据显示为0
2.App可识别ASA设备的所有端口（inside和outside），并记录Netflow信息，包括源IP、目的IP、TCP或UDP端口号等。
3.通过1个小时的会话跟踪，可以很方便查看当前所有会话。发现有IP地址在尝试进行端口扫描。被扫描的端口包括：netmeeting（3389）、X11（6000）、ms-sql-s （1433）、mysql （3306）、Oracle（1521）、knetd（2053）等
4.有部分端口属于windows默认服务，持续有端口访问情况，包括netbios-dgm （udp-138）和 netbios-ns （137），目的地址为广播地址，建议不使用该服务的，将其关闭。

试用Scrutinizer Netflow & sFlow Analyzer
1.App是试用版，30天试用期，流量数据显示大部分为0（未知原因）
2. 界面没有ManageEngine友好，查看会话、节点监测都较为麻烦

试用Solarwinds Netflow Traffic Analyzer，安装的3.5 sp2版本。
1. Solarwinds NTA 3.5的安装，需要先安装Solarwinds Orion 9.5以上版本
2. Solarwinds Orion 9.5以上版本，需要安装SQL Server 2005以上版本（不支撑SQL Server 2000）和.Net Framework 3.5以上
3. 安装较之前两种工具困难大一些。
4. 一定要Solarwinds NTA 3.5 sp2以上版本才支撑Cisco ASA设备的netflow v9数据格式。
5. Web界面浏览netflow统计信息，NTA显示数据和NPM显示数据有出入
6. SQLServer进程占用内存情况严重，对系统资源要求较高
7. 支撑Report定制，用户自定义需要查询的字段和数据，用户手册不够详尽，需要自行钻研。
8. 网络可能存在破解工具，目前Solarwinds用户最多。

[ 本帖最后由 家园小助手 于 2012-4-13 09:13 编辑 ]