Netflow および sFlow によるネットワークトラフィック監視 [wiki.pandorafms.jp]

この文書は読取専用です。文書のソースを閲覧することは可能ですが、変更はできません。もし変更したい場合は管理者に連絡してください。
====== Netflow および sFlow によるネットワークトラフィック監視 ====== 
{{indexmenu_n>18}}

[[ja:documentation:start|Pandora FMS ドキュメント一覧に戻る]]

===== リアルタイムネットワーク分析の概要 =====

Pandora FMS はリアルタイムでネットワークを分析するために、Pandora NTA と Netflow の 2つの異なるシステムを使用します。どちらのシステムもイーサネットを連続的に //リスニング// し、トラフィックを分析して統計を生成するという同じ手法を用います。どちらの場合も、何らかの方法でネットワークトラフィックを "傍受" してそれを分析するプローブに送信し、その結果を Pandora FMS に送信することが必要です。

ネットワークトラフィックを傍受して分析できるようにするには、ネットワークのキャプチャポイントを適切に判断する必要があるため、そのネットワークに物理的に確認するか、少なくともそのトポロジを理解する必要があります。たとえば、ルータまたはローカルAPのネットワークトラフィックをキャプチャすることは、ルータに到達する前のサーバのすべてのネットワークトラフィックをキャプチャするのとは同じではありません。

To capture such data, traffic must be redirected from one port of the switch to another port using a "**port-mirror**". Not all network devices allow this (only mid/high range). A port-mirror can also be made on some commercial firewalls. This is the easiest way to intercept traffic and requires no additional hardware. By sending all traffic to a port, that port is connected directly to the network analyzer (netflow probe).

トラフィックをキャプチャするには、ポートミラーリングを使用して、スイッチのあるポートから別のポートにトラフィックを再送信します。すべてのネットワークデバイスが対応しているわけではありません(中価格帯以上のみ)。いくつかの商用ファイアーウォールでもポートミラーはできます。これはトラフィックを傍受する最も簡単な方法であり、追加のハードウェアを必要としません。すべてのトラフィックを特定のポートに送信するので、そのポートはネットワークアナライザ（netflow probe）を直接接続します。

These high-end switches and/or firewalls make monitoring easier. This is due to the fact that these devices send the network flow statistical information directly to Pandora FMS's Netflow collector without the need of using a separate probe. You should consult the characteristics of the hardware to know if you can enable Netflow and send the flows to an independent Netflow collector (in this case, the Pandora FMS Netflow collector).

ハイエンドスイッチやファイアウォールでは監視が容易になります。

それは、これらのデバイスが、個別のプローブを使用せずに、ネットワークフロー統計情報を Pandora FMS の Netflow コレクターに直接送信するためです。

ハードウェアの機能を調べて、Netflow を有効にし、フローを独立したNetflow コレクター（この場合は Pandora FMS Netflow コレクター）に送信できるかどうかを確認する必要があります。


===== NetFlow ネットワーク監視 =====

Pandora FMS is able to monitor IP traffic using the NetFlow protocol.

Pandora FMS は、NetFlow プロトコルを使用して IP トラフィックを監視できます。

NetFlow® is a network protocol, developed by Cisco Systems® and is currently supported on several platforms in addition to Cisco IOS® and NXOS®, such as devices from manufacturers like Juniper®, Enterasys Switches®, and operating systems like Linux®, FreeBSD®, NetBSD® and OpenBSD®.

NetFlow® は Cisco Systems® によって開発されたネットワーク プロトコルで、現在 Cisco IOS® および NXOS® に加えて、Juniper®、Enterasys Switches® などのメーカーのデバイスや Linux®、FreeBSD®、NetBSD®、OpenBSD® などのオペレーティングシステムなど、いくつかのプラットフォームでサポートされています。 

==== NetFlow ====

Netflow に対応したデバイス(netflowプローブ)は、情報の小さなかたまりで構成される netflow レコードを生成します。それは中央デバイスまたは netflow サーバ(netflowコレクタ)へ送信され、情報が保存、処理されます。

データは、UDP または SCTP にて Netflow プロトコルにより送信されます。netflow レコードは小さなパケットで、流れている全通信内容ではなく、接続に関する統計情報のみを含んでいます。

オリジナルの仕様から異なり追加情報を含んだいくつかの Netflow 実装がありますが、ほとんどの場合少なくとも次の情報を含んでいます。
Netflow はさまざまな方法で説明されていますが、Cisco の従来の定義では 7要素キーを使用しています。フローは、次の 7つの値を共有する一方向のパケットシーケンスとして定義されています。

  * 発信元 IP アドレス
  * 宛先 IP アドレス
  * 発信元 UDP または TCP ポート
  * 宛先 UDP または TCP ポート
  * IP プロトコル
  * インタフェース (SNMP ifIndex)
  * サービスのタイプ

いくつかのベンダでは、異なる名前で似たようなプロトコルを定義していますが、目的は同じです。

  * Juniper Networks の Jflow または cflowd
  * 3Com/H3C|HP の NetStream
  * Huawei の NetStream
  * Alcatel Lucent の Cflowd
  * Ericsson の Rflow
  * AppFlow
  * sFlow

==== Netflow コレクタ ====

Netflow コレクタは、ルータやスイッチから送られた全ての Netflow 情報を収集するためにネットワーク上に置かれたデバイス(PCやサーバ)です。

Netflow サーバは、データを受け取り保存するために必要です。Pandora FMS は、この目的に **nfcapd** を利用しています。Pandora FMS が Netflow データを処理できるようにするには、これをインストールする必要があります。Pandora FMS は、必要なときに自動的にこのサーバを起動・停止します。

==== Netflow プローブ ====

The probes (for example in [[:en:documentation:pandorafms:monitoring:15_raspberry_monitoring|Raspberry]]) are generally routers with NetFlow enabled, configured, and sending information to the NetFlow collector (which in this case will be Pandora FMS server with the nfcapd daemon enabled).

プローブ ([[:ja:documentation:pandorafms:monitoring:15_raspberry_monitoring|Raspberry]] など) は通常、NetFlow が有効化され、設定され、情報を NetFlow コレクター (この場合は nfcapd デーモンが有効な Pandora FMS サーバです) に送信するルータです。

==== インストールと必要要件 ====

Pandora FMS uses an open-source tool called **nfcapd** (that belongs to the **nfdump** package) to process all NetFlow traffic. This //daemon// is automatically started by the Pandora FMS Server. This system stores data in binary files at a specific location. You must install **nfcapd** on your system before working with NetFlow in Pandora FMS.

Pandora FMS は、全ての netflow 通信を処理するためにオープンソースのツールである **nfcapd** (**nfdump** パッケージに含まれています) を利用します。この//デーモン//は、Pandora FMS サーバにより自動的に起動されます。このシステムは、データを特定の場所のバイナリファイルに保存します。Netflow を使うには、**nfcapd** をインストールする必要があります。

//Daemon //**nfcapd** listens on port ''9995/UDP'' by default, so keep it in mind if you have firewalls to open this port and when configuring NetFlow probes.

//デーモン// **nfcapd** のデフォルトの待ち受けポートは ''9995/UDP'' です。ファイアーウォールがある場合は、このポートを開ける必要があることに注意してください。

=== nfcapd のインストール ===

Install nfcapd manually, because Pandora FMS will not install it by default. For more information on how to install it, visit the [[http://nfdump.sourceforge.net|Official NFCAPD Project Page.]]

nfcapd は、手動でインストールする必要があります。Pandora FMS 自身は nfcapd をインストールしません。インストール方法の詳細は、[[http://nfdump.sourceforge.net|nfcapd プロジェクトの公式ページ]]を参照してください。

Pandora FMS uses the directory "/var/spool/pandora/data_in/netflow" by default to process information, so when it is started **nfcapd**  will use that directory. **Avoid changing this location path,**  unless it is strictly necessary and you are fully aware of it.

Pandora FMS はデフォルトで、Netflow データを保存するのに "/var/spool/pandora/data_in/netflow" ディレクトリを利用します。Pandora FMS サーバによって起動されるときに、nfcapd にこのディレクトリが指定されます。何を行っているかがわからない場合は、変更しないでください。

<WRAP center round tip 60%>

Install nfdump **version 1.6.8p1**  to use it with Pandora FMS.

</WRAP>

<WRAP center round tip 60%>

Pandora FMS では、Netflow データを処理するのに nfdump **バージョン 1.6.8p1** が必要です。

</WRAP>

If you want to check that nfcapd is correctly installed, run the following command to start the foreground process:

nfcapd が正しくインストールできたか確認するには、以下のようにコマンドを実行してプロセスを起動します。

<code>

nfcapd -l /var/spool/pandora/data_in/netflow

</code>

If everything works, you should see an output similar to this one:

すべて正しく動作していれば、以下のような出力が見られます。

<code>
Add extension: 2 byte input/output interface index
Add extension: 4 byte input/output interface index
Add extension: 2 byte src/dst AS number
Add extension: 4 byte src/dst AS number
Add extension: 4 byte output bytes
Add extension: 8 byte output bytes
Add extension: NSEL Common block
Add extension: NSEL xlate ports
Add extension: NSEL xlate IPv4 addr
Add extension: NSEL xlate IPv6 addr
Add extension: NSEL ACL ingress/egress acl ID
Add extension: NSEL username
Add extension: NSEL max username
Add extension: NEL Common block
Bound to IPv4 host/IP: any, Port: 9995
Startup.
Init IPFIX: Max number of IPFIX tags: 62
</code>

<WRAP center round important 60%>

Keep in mind that Pandora FMS Console (and more specifically the web server that runs it) must have access to those data. In this example they are located at:

<file>
/var/spool/pandora/data_in/netflow

</file>

</WRAP>

<WRAP center round important 60%>

Pandora FMS コンソール(具体的には、それを実行する Web サーバ)がデータにアクセスできる必要があることに注意してください。 この例では次の場所です。

<file>
/var/spool/pandora/data_in/netflow

</file>

</WRAP>

=== Netflow プローブのインストール ===
Netflow に対応したルータが無く、Linux サーバをルータとして利用している場合は、netflow 情報を Netflow サーバへ送信するソフトウエアの Netflow プローブをインストールできます。

== fprobe のインストール ==

**fprobe**  captures traffic and sends it to a NetFlow Server. You may generate NetFlow traffic with it, among all the traffic that goes through its interfaces.

**fprobe** がトラフィックを取得し Netflow サーバへ送信します。インターフェイスを通過するすべてのトラフィックから、Netflow トラフィックを生成できます。

To download the RPM package just run the following command, and then install it:

RPM パッケージをダウンロードおよびインストールするには、以下のコマンドを用います。

<code>
wget http://repo.iotti.biz/CentOS/7/x86_64/fprobe-1.1-2.el7.lux.x86_64.rpm
yum install fprobe-1.1-2.el7.lux.x86_64.rpm

</code>

For instance, executing this command, all ''eth0'' interface traffic will be sent to the NetFlow collector listening on port ''9995'' of the IP address ''192.168.70.185'':

たとえば、このコマンドを実行すると、すべての ''eth0'' インターフェイストラフィックが IP アドレス ''192.168.70.185'' のポート ''9995'' で待ち受けている Netflow コレクターに送信されます。

<code>
/usr/sbin/fprobe -i eth0 192.168.70.185:9995

</code>

Once the traffic has been generated, you may see its statistics in the NetFlow collector by entering this command:

トラフィックが生成されたら、次のコマンドでトラフィックの状態を見る事ができます。

<code>
nfdump -R /var/spool/pandora/data_in/netflow

</code>

次のような情報が表示されます。

<code>
Aggregated flows 1286
Top 10 flows ordered by packets:
Date flow start          Duration Proto      Src IP Addr:Port          Dst IP Addr:Port   Packets    Bytes Flows
2011-12-22 20:41:35.697   901.035 TCP     192.168.60.181:50935 ->     192.168.50.2:22        2105   167388     4
2011-12-22 20:41:35.702   900.874 TCP       192.168.50.2:22    ->   192.168.60.181:50935     1275   202984     4
2011-12-22 20:48:15.057     1.347 TCP       157.88.36.34:80    ->    192.168.50.15:40044      496   737160     1
2011-12-22 20:48:14.742     1.790 TCP     91.121.124.139:80    ->    192.168.50.15:60101      409   607356     1
2011-12-22 20:46:02.791    76.616 TCP      192.168.50.15:80    ->   192.168.60.181:40500      370   477945     1
2011-12-22 20:48:15.015     1.389 TCP      192.168.50.15:40044 ->     157.88.36.34:80         363    22496     1
2011-12-22 20:46:02.791    76.616 TCP     192.168.60.181:40500 ->    192.168.50.15:80         303    24309     1
2011-12-22 20:48:14.689     1.843 TCP      192.168.50.15:60101 ->   91.121.124.139:80         255    13083     1
2011-12-22 20:48:14.665     1.249 TCP     178.32.239.141:80    ->    192.168.50.15:38476      227   335812     1
2011-12-22 20:48:21.350     0.713 TCP     137.205.124.72:80    ->    192.168.50.15:47551      224   330191     1

Top 10 flows ordered by bytes:
Date flow start          Duration Proto      Src IP Addr:Port          Dst IP Addr:Port   Packets    Bytes Flows
2011-12-22 20:48:15.057     1.347 TCP       157.88.36.34:80    ->    192.168.50.15:40044      496   737160     1
2011-12-22 20:48:14.742     1.790 TCP     91.121.124.139:80    ->    192.168.50.15:60101      409   607356     1
2011-12-22 20:46:02.791    76.616 TCP      192.168.50.15:80    ->   192.168.60.181:40500      370   477945     1
2011-12-22 20:48:14.665     1.249 TCP     178.32.239.141:80    ->    192.168.50.15:38476      227   335812     1
2011-12-22 20:48:21.350     0.713 TCP     137.205.124.72:80    ->    192.168.50.15:47551      224   330191     1
2011-12-22 20:48:15.313     1.603 TCP       89.102.0.150:80    ->    192.168.50.15:52019      212   313432     1
2011-12-22 20:48:14.996     1.433 TCP     212.219.56.138:80    ->    192.168.50.15:36940      191   281104     1
2011-12-22 20:51:12.325    46.928 TCP      192.168.50.15:80    ->   192.168.60.181:40512      201   245118     1
2011-12-22 20:52:05.935    34.781 TCP      192.168.50.15:80    ->   192.168.60.181:40524      167   211608     1
2011-12-22 20:41:35.702   900.874 TCP       192.168.50.2:22    ->   192.168.60.181:50935     1275   202984     4

Summary: total flows: 1458, total bytes: 5.9 M, total packets: 15421, avg bps: 49574, avg pps: 15, avg bpp: 399
Time window: 2011-12-22 20:40:46 - 2011-12-22 20:57:21
Total flows processed: 1458, Records skipped: 0, Bytes read: 75864
Sys: 0.006s flows/second: 208345.2   Wall: 0.006s flows/second: 221177.2
</code>


ここまでの動作確認ができたら、次はそれを利用できるようにするための Pandora FMS の設定です。

== pmacct のインストール ==

<WRAP center round info 60%>

Experimental.

</WRAP>

<WRAP center round info 60%>

実験的

</WRAP>

Among many features of the [[http://www.pmacct.net/|pmacct]] probe are the ability to work with NetFlow v1/v5/v7/v8/v9, sFlow v2/v4/v5 over IPv4 and IPv6.

[[http://www.pmacct.net/|pmacct]] プローブは、IPv4 および IPv6 を介して NetFlow v1/v5/v7/v8/v9、sFlow v2/v4/v5 で動作する機能があります。

The source code is hosted at:

ソースコードは以下にあります。

<WRAP center round download 60%>

[[https://github.com/pmacct/pmacct|https://github.com/pmacct/pmacct]]

</WRAP>

**Rocky Linux 8**

Install dependencies with administrator rights:

依存ファイルの管理者権限でのインストール。

<code>

dnf config-manager --set-enabled powertools
dnf groupinstall 'Development Tools'
dnf install libpcap libpcap-devel

</code>

Download **pmacct** source code (you may use **curl** instead of **wget**) and build it:

**pmacct** のソースをダウンロード(**wget** の代わりに **curl** も使えます)してビルドします。

<code>
cd /tmp
wget -O pmacct-1.7.7.tar.gz "https://github.com/pmacct/pmacct/releases/download/v1.7.7/pmacct-1.7.7.tar.gz"
tar xvzf pmacct-1.7.7.tar.gz
cd pmacct-1.7.7
./autogen.sh
./configure
make && make install

</code>

Start **pmacct** as a NetFlow probe in //daemon// mode:

//デーモン//モードで、**pmacct** を NetFlow プローブとして起動します。

   * Create **pmacct**  config:

   * **pmacct** 設定の作成:

For instance, all ''eth0''  interface traffic will be sent to the NetFlow collector listening on port ''9995''  of the IP address ''192.168.70.185'':

例では、すべての ''eth0'' インターフェイストラフィックが、IP アドレス ''192.168.70.185'' のポート ''9995'' で待ち受けている NetFlow コレクタに送信されます。

<code>
cat> pmacctd_probe.conf <<EOF
daemonize: true
pcap_interface: eth0
aggregate: src_host, dst_host, src_port, dst_port, proto, tos
plugins: nfprobe
nfprobe_receiver: 192.168.70.185:9995
nfprobe_version: 9
EOF

</code>

  * Start **pmacctd**:

  * **pmacctd** の起動:

<code>
# pmacctd -f pmacctd_probe.conf

</code>


==== Pandora FMS における Netflow の動作 ====

Pandora FMS works along with Netflow as an auxiliary system, that means** it does not store NetFlow data in its database**. Pandora FMS shows that information as reports on demand.

Pandora FMS は、補助システムとしての Netflow と連動します。つまり、**データベースに NetFlow データを保存しません**。 Pandora FMS は、その情報をオンデマンドでレポートとして表示します。

Pandora FMS works with NetFlow data by using filters, which are sets of rules that match certain traffic patterns. A rule can be as simple as 'all the traffic from 192.168.70.0/24 network' or a complex **pcap **filter expression.

Pandora FMS は、フィルタを使って Netflow データを処理します。フィルタは、通信パターンにマッチするルールのセットです。ルールは、'all the traffic from 192.168.70.0/24 network'(サブネット 192.168.70.0/24 からの通信すべて) といったように簡単です。また、**pcap** のフィルタ書式も利用できます。

フィルタを作成したら、フィルタにマッチした情報をどのように表示するか(グラフや表)および時間範囲をレポートで定義する必要があります。Netflow レポートは、他の Pandora FMS レポートと同様にオンデマンドでのアクセスです。

Netflow レポートは、"レポートタイプ" として Pandora FMS カスタムレポートに現れます。Pandora FMS の "通常" のレポートへ追加することができます。

また、通信の分析や素ぽーっとでルールを作成したり修正するためのライブ Netflow ビューワがあります。これは、問題を調査したり、保存しない一時的なグラフを表示するのにするのにとても便利です。

=== 設定 ===

<WRAP center round important 60%>

Access speed to the hard drive where NetFlow data are stored is usually the key factor for performance limits.

</WRAP>

<WRAP center round important 60%>

Netflow データが保存されるハードディスクアクセス速度は、通常、パフォーマンスに関わる重要な要素です。

</WRAP>

First of all, enable NetFlow so that it becomes accessible from the **Operation**  and **Administration **menus. In the **Configuration**  section (**Management**  menu) there is an option for globally enabling or disabling NetFlow.

First of all, enable NetFlow in order for it to become accessible from the **Operation** and **Administration **menus. In the **Configuration** section (**Management** menu) there is an option for enabling or disabling Netflow globally.

まず最初に、Netflow を **操作(Operation)** および **システム管理(Administration)** メニューからアクセスできるようにする必要があります。設定画面(**管理**メニュー)に、Netflow を有効化・無効化するオプションがあります。

{{  :wiki:pfms-general_setup-netflow_config-general_network_path.png  }}

Once activated, a new NetFlow configuration option will appear in the setup section.

有効化すると、新たに Netflow 設定オプションが表示されます。

{{  :wiki:pfms-netflow_config.png  }}

This section must be correctly configured so that the **nfcapd**  daemon may be started together with Pandora FMS server:

ここでは、**nfcapd** デーモンが Pandora FMS サーバと同時に起動するように正しく設定する必要があります。

  * **Data storage path:**  The directory where NetFlow data files are stored. Only the name of the directory should be entered, by default ''netflow''  (see [[:en:documentation:pandorafms:management_and_operation:12_console_setup#general_setup|General Setup]]).
  * **Daemon binary path**: The path to the **nfcapd**  binary.
  * **Nfdump binary path**: The path to the **nfdump**  binary.
  * **Nfexpire binary path**: The path to the **nfexpire**  binary.
  * **Maximum chart resolution**: The maximum number of points displayed by a NetFlow area chart. The higher the resolution, the lower the performance. Values between '50' and '100' are recommended here.
  * **Disable custom live view filters:**  It disables defining custom filters from the NetFlow view (only for previously created filters).
  * **NetFlow max. lifespan:**  Maximum number of days NetFlow data will be stored before being deleted.
  * **Enable IP address name resolution**: Il allows IP addresses resolution to try to retrieve the hostnames from NetFlow devices.
  * **Daemon interval**: It allows you to set the NetFlow daemon time interval to 10, 30 or 60 minutes. After making a change and applying it in the time selector, it is necessary to restart the server for this change to take effect.

  * **データ保存パス(Data storage path):** Netflow データが保存されるディレクトリです。ディレクトリ名のみを入力します。デフォルトは ''netflow'' です([[:ja:documentation:pandorafms:management_and_operation:12_console_setup#一般設定|一般設定]]を参照)
  * **デーモンバイナリパス(Daemon binary path):**  **nfcapd** バイナリのパスです。
  * **Nfdump バイナリパス(Nfdump binary path):** **nfdump** バイナリのパスです。
  * **Nfexpire バイナリパス(Nfexpire binary path):** **nfexpire** バイナリのパスです。
  * **最大グラフ解像度(Maximum chart resolution):** Netflow グラフを表示するエリアの最大サイズです。解像度を高くするとパフォーマンスが下がります。50 と 100 の間の値をお勧めします。
  * **ライブビューカスタムフィルタの無効化(Disable custom live view filters):** 有効にすると、管理者によってあらかじめ作成された Netflow フィルタのみが Netflow ライブビューで利用できます。
  * **Netflow 最大保存期間(Netflow max lifespan):** 指定した日数よりも古い Netflow データが削除されます。
  * **IP アドレス名前解決の有効化(Enable IP address name resolution):** Netflow デバイスから IP アドレスの名前解決をするようにします。
  * **デーモン間隔(Daemon interval):** (//バージョン NG 769 およびそれ以前//) データファイルをローテートする時間間隔(秒)です。3600を推奨します。間隔を大きくすると大きなファイルとなり、I/O のオーバーヘッドは小さくなりますが、特定の時間間隔におけるデータの検索は遅くなります。

Once NetFlow is configured in the console, restart Pandora FMS Server so that it starts the **nfcapd**  server. This server must be properly installed before trying to run it. Check server logs in case of doubt.

コンソールで NetFlow を設定したら、Pandora FMS サーバを再起動して、**nfcapd** サーバを起動します。 このサーバは、実行する前に適切にインストールする必要があります。 疑わしい場合はサーバのログを確認してください。

If you decide to store the NetFlow data **on a device other than PFMS server**  ([[#nfcapd_installation|see nfcapd installation procedure]] and the [[#distributed_configuration|distributed configuration]]) copy the binary file ''/usr/bin/nfexpire''  to that device and add the following entry in ''/etc/crontab'':

NetFlow データを **PFMS サーバ以外のデバイス** ([[#nfcapd_のインストール|nfcapd のインストール手順]] および [[#分散設定|分散設定]] を参照) に保存する場合は、バイナリファイル ''/usr/bin/nfexpire'' をそのデバイスに追加し、次のエントリを ''/etc/crontab'' に追加します。

<file>

0 * * * * root yes 2>/dev/null | /usr/bin/nfexpire -e "/var/spool/pandora/data_in/netflow" -t X_days d

</file>

Where ''x_days''  is the maximum number of days old of NetFlow data to be retained on that device (//in this particular case PFMS Console configuration will have no effect for that field//).

ここで、''x_dias'' は、デバイスに残す NetFlow データの最大日数です(//Pandora FMS コンソールの設定とは関係ありません//)。

==== フィルタ ====

You may access filter creation and edition by clicking on **Resources → NetFlow filters**. This section contains a list of already created filters which can be modified or deleted.

**リソース(Resources)** > **NetFlow フィルタ(NetFlow Filters)** をクリックすることにより、作成および編集ができます。このセクションには、変更または削除できる作成済みのフィルタのリストが含まれています。

You may also create a filter right away from the **NetFlow live view**, saving the active filter as a new one. NetFlow filters can be "basic" or "advanced". The difference is that the former have fixed filtering fields (source IP, target IP, source port, target port) and the advanced ones are defined by the expression //pcap//  (standard in filtering expressions for network traffic) and use all kinds of tools.

**NetFlow ライブビュー**からすぐにフィルタを作成し、アクティブなフィルタを新しいフィルタとして保存することもできます。 NetFlow フィルタには "基本(basic)" または "高度(advanced)" があります。 違いは、前者には固定のフィルタリングフィールド (ソース IP、ターゲット IP、ソースポート、ターゲットポート) があるのに対し、高度なフィルタリングフィールドは //pcap// 式 (ネットワークトラフィックのフィルタリング式の標準) によって定義され、あらゆる種類を使用することができます。

=== NetFlow 監視の有効化 ===

<WRAP center round info 60%>

{{:wiki:icono-modulo-enterprise.png?nolink&23x23  |Enterprise version}}Version 770 or later.

</WRAP>

<WRAP center round info 60%>

{{:wiki:icono-modulo-enterprise.png?nolink&23x23  |Enterprise 版}}バージョン 770 以降

</WRAP>

When creating the filter, filter monitoring can be activated by activating the //token//  **Enable NetFlow monitoring**.

フィルターを作成するときに、**Enable NetFlow monitoring** //トークン// を有効にすることでフィルタ監視を有効にできます。

  * This allows creating an agent that monitors the traffic volume of this filter.
  * It creates a module that measures whether traffic from any IP address in this filter exceeds a certain threshold.
  * A text module will be created with the traffic rate of each IP address within this filter every five minutes (the 10 most trafficked IP addresses).

  * これにより、このフィルタのトラフィック量を監視するエージェントを作成できるようになります。
  * このフィルタ内のいずれかの IP アドレスからのトラフィックが特定のしきい値を超えているかどうかを測定するモジュールを作成します。
  * このフィルター内の各 IP アドレスのトラフィックレートを含むテキストモジュールが 5 分ごとに作成されます (最もトラフィックが多い 10 個の IP アドレス)。

The parameters are as follows:

パラメータは次の通りです。

  * **Maximum traffic value of the filter**: Specifies the maximum rate (in bytes per second) of filter traffic. It is then used to calculate the percentage of maximum traffic per IP address.
  * **WARNING threshold for the maximum % of traffic for an IP**: If any IP address within the filter exceeds the set percentage, a WARNING status will be generated.
  * **CRITICAL threshold for the maximum % of traffic for an IP**: If any IP address within the filter exceeds the set percentage, a CRITICAL status will be generated.

  * **フィルタの最大トラフィック値(Maximum traffic value of the filter)**: フィルタトラフィックの最大レート (バイト/秒) を指定します。 次に、これを使用して、IP アドレスごとの最大トラフィックの割合が計算されます。
  * **IP のトラフィックの最大 % の警告しきい値(WARNING threshold for the maximum % of traffic for an IP)**: フィルタ内のいずれかの IP アドレスが設定された割合を超えると、警告状態が生成されます。
  * **IP のトラフィックの最大 % の障害しきい値(CRITICAL threshold for the maximum % of traffic for an IP)**: フィルタ内のいずれかの IP アドレスが設定された割合を超えると、障害状態が生成されます。



==== レポート ====
Netflow レポートは、Pandora FMS のレポート機能に統合されています。

新たにレポートアイテムを作成するには、netflow レポートアイテムの一つを選択します。

{{ wiki:Netflow7.png }}


そして、設定します。次のオプションがあります。

{{ wiki:Netflow8.png }}


  * **タイプ(Type)**: 以下に説明するアイテムのタイプです。
  * **フィルター(Filter)**: 利用する Netflow フィルタです。
  * **説明(Description)**: アイテムの説明です。
  * **間隔(Period)**: データを表示する期間です。
  * **解像度(Resolution)**: データは、解像度に指定したサイズで取得されます。もし、間隔/解像度を最大グラフ解像度より大きく設定すると、動的に再調整されます。例えば、間隔が 1日で、解像度が 1時間の場合、24ポイントがグラフに表示されます。
  * **最大値(Max. values)**: 集約する要素の最大値です。例えば、HTTP トラフィックのグラフを書く場合、ソースIPアドレスで集約し、最大値が 5 であれば、5つの IP アドレスのみが表示されます。

netflow レポートのアイテムは、3種類あります。

  * **塗りつぶしグラフ(Area chart)**: 集約または未集約の塗りつぶしグラフです。

{{ wiki:Netflow_chart_area_aggregated.png?600 }}


  * **データ一覧(Data table)**: 塗りつぶしグラフをテキストで表したものです。

{{ wiki:Netflow_table_data.png?600 }}


  * **Netflow サマリグラフ(Netflow summary chart)**: 指定した間隔のトラフィックサマリです。グローバル情報を含む表、最も関連性のある IP またはポートを含む円グラフ、分割された円グラフと同じ情報を含む表の 3つの要素があります。

{{ wiki:Netflow9.png }}


==== Netflow リアルタイム表示 ====

This view is used to check the history of captured data based on different search filters. Filters and different forms of information display can be used. The way of grouping the displayed information must be defined, as well as the way of obtaining such information in order to start displaying data.

この表示は、さまざまな検索フィルタに基づいて取得されたデータの履歴を調べるために使用します。フィルタを使用して、さまざまな異なる情報を表示することができます。データの視覚化をするには、表示された情報をグループ化する方法と、この情報を取得する方法があります。

Filters can be viewed in real time from **Operation**  → **Monitoring**  → **Network**  → **NetFlow Live View**. This tool allows you to visualize the changes made to a filter and save it once the desired result is obtained. It is also possible to load and modify existing filters.

フィルタした情報は、**操作(Operation)** → **モニタリング(Monitoring)** → **ネットワーク(Network)** → **Netflow ライブビュー(Netflow Live View)** から表示できます。このツールで、フィルタの変更のプレビューおよび、好みの出力結果を保存できます。設定したフィルタをロードし編集することもできます。

The way to obtain the information can be: source IP address, destination IP address, source port or destination port. If you choose, for example, to display the destination IP address information, the information will be displayed sorted by the IP addresses with the most traffic to the destination from highest to lowest. The same would be done to know the consumption of your network by protocol, choosing by destination port.

情報を取得する方法は、送信元 IP アドレス、宛先 IP アドレス、送信元ポート、または宛先ポートです。 たとえば、宛先 IP アドレス情報を表示することを選択した場合、情報は、宛先へのトラフィックが最も多い IP アドレスによって、最高から最低の順に並べ替えられて表示されます。 宛先ポートを選択して、プロトコルごとのネットワークの消費量を見る場合も同じことが行われます。

可能な表示方法は以下の通りです。

  * **塗りつぶしグラフ(Area Graph)** (//積み重ね//): 時間の経過とともに(開始日から終了日まで)、データの変化を表示します。 "解像度(Resolution)" で、グラフの精度を選択する必要があります。

{{  :wiki:netflow_grafico_area.png?600  }}


  * **概要(Summary)**: サマリ表、円グラフ、および期間全体のデータを含む表を表示します。
{{  :wiki:netflow_grafico_sumario.png?600  }}


  * **詳細(Detailed)**: IP トラフィックを表すマップを表示します。

{{  :wiki:netflow_grafico_detailed.png.png?600  }}


  * **データ表(Data table)**: 選択に応じて、各 IP と行数を含むデータテーブルを表示します。

{{  :wiki:netflow_datatable.png?600  }}


  * **円グラフ(Circle graph)**: IP とトラフィック量の間の関係を表すインタラクティブな円グラフを表示します。
{{  :wiki:netflow_bola.png?600  }}

==== ネットワークトラフィックマップ ====

It allows you to create dynamic network maps, based on the traffic between nodes. It displays the relationship (connections) between different addresses, showing the N most important connections (by size of data transferred between them).

これにより、ノード間のトラフィックに基づいて動的なネットワーク マップを作成できます。 異なるアドレス間の関係 (接続) が表示され、最も重要な N 個の接続が (接続間で転送されるデータのサイズごとに) 表示されます。

{{  :wiki:network_usage_map.jpg?700  |network_usage_map.jpg}}


==== 分散設定 ====
コンソールから独立したホスト上に Netflow データを収集する pandora ノードを配置することも可能です。大量の Netflow データがある環境では、高速ディスクと 2コア以上の高速 CPU を備えたサーバに配置することをお勧めします。 Pandora コンソールがNetflow データを抽出するためには、以下の手順に従ってシステムのデフォルト設定を変更する必要があります。

  * **Web デーモンを実行するユーザと、コレクターノードで nfdump を実行するユーザとの間の自動 SSH 認証を構成します。**

その設定には、次の手順を実行する必要があります。

apache ユーザを有効化します。それには、/etc/passwd ファイル内の apache ユーザを次のように編集します。

  apache:x:48:48:Apache:/var/www:/bin/bash

/var/www ディレクトリ内に .ssh ディレクトリを作成し、正しいパーミッションを設定します。

<code>
#mkdir /var/www/.ssh
#chown apache:apache /var/www/.ssh
</code>

ssh 鍵を作成し、それを Netflow トラフィックを収集するホストにコピーします。

<code>
#su apache
bash-4.2$ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/var/www/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /var/www/.ssh/id_rsa.
Your public key has been saved in /var/www/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:vYvl5V00E4faa14zN08ARzGUQ9IfAQJnMzkaqLAGRHI apache@<server>
The key's randomart image is:
+---[RSA 2048]----+
|+oE     ...*o=B+.|
|.o .   . .oo+o++ |
|  . o .   o o o+o|
|   o .   o   =  +|
|  .     S . . oo.|
|           .   +o|
|          o . o+=|
|         + + + +*|
|        . o . o .|
+----[SHA256]-----+
bash-4.2$ ssh-copy-id root@<netflow_server>
</code>

コピーしたら、パスワード無しで apache ユーザがサーバにアクセスできるかどうかを確認します。

  bash-4.2$ ssh usuario@<netflow_server>

  * **以下のように Pandora FMS コンソールで /usr/bin/nfdump を置き換えるスクリプトを作成します。**

<code>
#!/bin/bash
NFDUMP_PARAMS=$(sed 's/(\(.*\))/\"\(\1\)\"/' <<< "$@");

ssh usuario@<netflow_server> "/usr/bin/nfdump $NFDUMP_PARAMS"
</code>

スクリプトに実行パーミッションを与えます。

  chmod 755 /usr/bin/nfdump

以下のようにスクリプトを実行してみます。

  /usr/bin/nfdump -V

つぎのような応答があります。

  nfdump: Version: 1.6.13

===== sFlow でのネットワーク監視 =====

<WRAP center round info 60%>

NG 770 version or later.

</WRAP>

<WRAP center round info 60%>

バージョン NG 770 以降

</WRAP>

From Pandora FMS version 770 onwards, support for [[http://sflow.org/about/index.php|sFlow]], a network protocol which is an industry standard in hardware manufacturing for data network traffic, is included.

Pandora FMS バージョン 770 以降では、[[http://sflow.org/about/index.php|sFlow]] のサポートが含まれています。[[http://sflow.org/about/index.php|sFlow]] は、データネットワークトラフィック用のハードウェアにおける業界標準のネットワークプロトコルです。

The operation of sFlow in PFMS is [[:en:documentation:03_monitoring:18_netflow#netflow_network_monitoring|similar to the one established with NetFlow]]. In case both protocols are active, **the data will be grouped together**; in any case they will always be displayed by accessing the **Operation**  menu in the left sidebar, and then clicking on **Network**.

Pandora FMS での sFlow の動作は [[:ja:documentation:03_monitoring:18_netflow#netflow_ネットワーク監視|NetFlow で確立しているものと同様]] です。 両方のプロトコルが有効な場合、**データはグループ化されます**。いずれの場合も、左側のサイドバーの **操作(Operation)** メニューにアクセスし、**ネットワーク(Network)** をクリックすると、常に表示されます。

==== sFlow 設定 ====

<WRAP center round info 60%>

NG 775 version or later.

</WRAP>

<WRAP center round info 60%>

バージョン NG 775 以降

</WRAP>

Enable sFlow to be accessible from the **Operation** and **Management** menus. Under the [[#configuration|NetFlow configuration section]], there is an option to enable or disable sFlow globally.

**操作** と **管理** メニューからアクセスできるように、sFlow を有効化する必要があります。 [[#設定|NetFlow 設定セクション]]に、sFlow をグローバルに有効または無効にするオプションがあります。

{{  :wiki:pfms-general_setup-sflow_config.png  }}

A new tab will be enabled specifically for sFlow:

sFlow 専用の新しいタブが有効になります。

{{  :wiki:pfms-sflow_config.png  }}

  * **Data storage path**: Directory where the sFlow data files are to be stored (see [[:en:documentation:04_using:12_console_setup#general_setup|General Setup]]).
  * **Daemon binary path**:  Path to the binary of **nfcapd**.
  * **Nfdump binary path**:  Path to the binary of **nfdump**.
  * **Nfexpire binary path**:  Path to the binary of **nfexpire**.
  * **Maximum chart resolution**: Maximum number of points an sFlow area plot will display. The higher the resolution, the worse the performance. Values between 50 and 100 are recommended.
  * **Disable custom live view filters**: Disables the definition of custom filters from the sFlow view (filters that are already created can still be used).
  * **sFlow max lifetime**: Indicates the maximum time in days of sFlow data to be stored.
  * **Enable IP address name resolution**: Enables IP address resolution to try to obtain the hostnames of sFlow devices.

  * **データ保存パス(Data storage path)**: sFlow データファイルが保存されるディレクトリ。([[:ja:documentation:04_using:12_console_setup#一般設定|一般設定]]を参照)
  * **デーモンバイナリパス(Daemon binary path)**: **nfcapd** のバイナリのパス。
  * **nfdump バイナリパス(Nfdump binary path)**: **nfdump** のバイナリのパス。
  * **nfexpire バイナリパス(Nfexpire binary path)**: **nfexpire** のバイナリのパス。
  * **最大グラフ解像度(Maximum chart resolution)**: sFlow グラフが表示するポイントの最大数。解像度が高くなるほどパフォーマンスが低下します。 50 から 100 の間の値をお勧めします。
  * **カスタムライブビューフィルタ無効化(Disable custom live view filters)**: sFlow 表示のカスタムフィルターの定義を無効にします (既に作成されているフィルターは引き続き使用できます)。
  * **sFlow 最大保存期間(sFlow max lifetime)**: sFlow データを保存する最大日数を示します。
  * **IP アドレス名前解決の有効化(Enable IP address name resolution)**: sFlow デバイスのホスト名を取得するための IP アドレス名前解決を有効にします。

[[ja:documentation:start|Pandora FMS ドキュメント一覧に戻る]]

===== (OBSOLETE) =====

=== フィルタ作成 ===
Netflow フィルターの基本的な編集画面:

{{  :wiki:netflow4.png  }}

この機能における設定可能な NetFlow フィルタは次のとおりです。

  * **Name:**  It is recommended for the filter's name to be quite descriptive.
  * **Group:**  A user can only create a filter or edit the filter of a group it has access to.
  * **Filter:**  There are two types of filters: Basic and advanced. Advanced filters allow using advanced expressions in the same format as 'nfdump'. Basic filters can filter traffic by source and target IP and source or target port. Lists of comma-separated IPs or ports are also accepted here.
  * **Aggregate by:**  All traffic data can be grouped by one of the following criteria:
      * **DST IP address**: Group traffic of each IP from a different source.
      * **DST port**: Group traffic of each IP with a different target.
      * **SRC IP address**: Group traffic of each port from a different source.
      * **SRC Port**: Group traffic of each port with a different target.

  * **名前(Name)**: フィルタの名前です。解りやすいものを定義してください。
  * **グループ(Group)**: 1ユーザは、アクセス可能なグループの一つのフィルタのみ作成または編集できます。
  * **フィルタ(Filter)**: フィルタには、基本と拡張の 2つのタイプがあります。拡張フィルタは、//nfdump// と同じフォーマットの拡張表現が利用できます。基本フィルタは、発信元IP、宛先IP、発信元ポート、宛先ポートで通信をフィルタできます。カンマで区切った IP またはポートリストが利用できます。
  * **集約(Aggregate by)**: 通信が次の基準で集約されます:
      * **宛先 IP(DST IP address)**: 異なる宛先 IP ごとに通信を表示します。
      * **宛先ポート(DST port)**: 異なる宛先ポートごとに通信を表示します。
      * **発信元 IP(SRC IP address)**: 異なる発信元 IP ごとに通信を表示します。
      * **発信元ポート(SRC Port)**: 異なる発信元ポートごとに通信を表示します。 

{{  :wiki:pfms-resources-netflow_filters-edit_filter-aggregate_by.png  }}

== 例 ==
基本ウェブ通信フィルタの例:



{{ wiki:Netflow5.png }}




高度なイントラネット通信フィルタの例:



{{ wiki:Netflow6.png }}




以下に、他のフィルタ例を示します。

  * 192.168.0.1 発または宛のトラフィックをキャプチャ:

  host 192.168.0.1

  * 192.168.0.1 宛のトラフィックをキャプチャ:

  dst host 192.168.0.1

  * 192.168.0.0./24 発のトラフィックをキャプチャ:

  src net 192.168.0.0/24

  * HTTP および HTTPS のトラフィックをキャプチャ:

  (port 80) or (port 443)

  * DNS 以外の全トラフィックをキャプチャ:

  port not 53

  * 192.168.0.1 宛の SSH トラフィックをキャプチャ:

  (port 22) and (dst host 192.168.0.1)