Netflow: nfsen + nfdump en Debian (3) + cacti + pmacct

Ahora vamos a añadir una capa más…. pmacct.

Pmacct será el enlace entre cacti y los flows de los dispositivos… usaremos nfsen para controlar tráfico y ataques.

Descargamos y descomprimimos pmacct:


# cd /usr/src
# wget -c http://www.pmacct.net/pmacct-1.5.0.tar.gz
# tar -zxvf pmacct-1.5.0.tar.gz

Creamos el directorio de instalación:

# mkdir /etc/pmacct

Y instalamos

Una vez instalado, vamos a configurar lo que nos interesa de pmacct, que más tarde, enlazaremos con cacti.


# nano /etc/pmacct.conf

debug: true
daemonize: true
nfacctd_port: 9996
pidfile: /var/run/nfacctd.pid
plugin_buffer_size: 80524
plugin_pipe_size: 18052324
networks_file: /etc/pmacct/nfacctd.hosts

plugins: memory[in], memory[out]
aggregate[in]: dst_host
aggregate[out]: src_host
imt_path[in]: /tmp/in.pipe
imt_path[out]: /tmp/out.pipe

En el fichero nfacctd.hosts, añadimos las ip’s / rangos que nos interese tener en detalle…


# nano /etc/pmacct/nfacctd.hosts

1.1.1.1/32
1.1.1.2/32
..
...

Lanzamos pmacct….


root@testflow:/etc/pmacct/sbin# ./nfacctd -D -f /etc/pmacct/pmacct.conf

Para comprobar que estamos escuchando correctamente:

root@testflow:/etc/pmacct/bin# netstat -putan | grep 9996
udp 0 0 0.0.0.0:9996 0.0.0.0:* 17799/nfacctd: Core

y que recogemos flows:

root@testflow:/etc/pmacct/bin# ./pmacct -s -p /tmp/out.pipe
root@testflow:/etc/pmacct/bin# ./pmacct -s -p /tmp/in.pipe

Y ahora comprobamos si hace accounting de las ip’s en concreto:


root@testflow:/etc/pmacct/bin# ./pmacct -c dst_net -N 1.1.1.1 -p /tmp/in.pipe
7254628
root@testflow:/etc/pmacct/bin#

Y vemos cómo ya nos muestra tráfico en bytes 🙂

Captura de pantalla 2014-11-16 a las 14.42.32

Mikrotik & Netflow setup

El primer post del 2013.

Un apunte para recordar cómo configuraremos el netflow en una Mikrotik.

Entramos por telnet o winbox (prefiero telnet):

# telnet 192.168.2.251
mikroTik v5.22
login: miuser
password: xxxxxx

Entramos en modo netflow y lo habilitamos:

/ip traffic-flow
/ip traffic-flow> set enabled=yes

Y comprobamos la config:

[craem@router] /ip traffic-flow> print
enabled: yes
interfaces: all
cache-entries: 4k
active-flow-timeout: 30m
inactive-flow-timeout: 15s
[craem@router] /ip traffic-flow>

Y ahora añadimos el destino para los traps de netflow:

[craem@router] /ip traffic-flow target
[craem@router] add address=192.168.2.3:9996 version=9

Y comprobamos la config:

[craem@router] /ip traffic-flow target> print
Flags: X – disabled
# ADDRESS VERSION
0 192.168.2.3:9996 9
[craem@router] /ip traffic-flow target>

Y con ésto, ya lo tenemos configurado.

Netflow, es un protocolo desarrollado inicialmente por cisco, que sirve para recolectar toda la info que pasa por los routers / interfaces.

Podríais decir que snmp hace lo mismo, pero no es cierto. SNMP captura el volumen de tráfico ( a lo mejor con los mibs adecuados, si), pero netflow nos desgrana en detalle ip’s origen / destino / puerto y con el programa adecuado, por ejemplo , obtendremos unas estadísticas interesantes, que nos puede servir, por ejemplo, para saber en qué gastamos nuestro ancho de banda, cantidad, etc..

Enjoy your netflow 🙂

Configurando netflow en routers cisco

Esta entrada es más bien un apunte.

Netflow, es un protocolo diseñado por Cisco, que es usado para recolectar información sobre el tráfico IP que pasa por nuestro dispositivo; bastante útil para si tenemos nuestras sedes por vpn y queremos ver en detalle en qué nos gastamos el ancho de banda.

No entraremos en detalle sobre los programas para recolectar, ya que hay varios, tanto para windows como linux y libres / comerciales.

Para empezar, entraremos en nuestro router y en el interfaz público o más cerca del recolector de netlow, ingresaremos los siguientes comandos…. (suponemos que el interfaz público es el FA0/0).

router#conf t
router(config)#interface fa0/0
router(config-if)#ip route-cache flow

Ahora vamos a configurar el destino y versión:

ip flow-export source FastEthernet0/0
ip flow-export version 9
ip flow-export destination ip.del.netflow.x 9996

Y ahora a recolectar y analizar el tráfico.