NetFlow vs Sflow

Netflow vs Sflow

 
Muitas pessoas acham que ambos são a mesma coisa outros acham que é preferível um ao outro.
Na realidade são coisas diferentes e que se podem complementar entre si.
Netflow nunca irá funcionar como o Sflow ou o inverso.
Cada um tem a sua forma de trabalhar e serve o seu objectivo.
 
Vamos ver quais as funcionalidades de cada um e onde podem ser implementados:

Netflow:

É um acrónimo para Network Flows quebra as comunicações TCP/IP em dados estatísticos baseados em “flows” de comunicações.
 
O que é um flow? 
É um fluxo de pacotes num único sentido com base numa origem especifica e num destino especifico.
ex: Se iniciarmos uma sessão telnet para o netflow essa sessão é composta por 2 flows de trafego uma outbond e outra inbound.
 
Todos os pacotes pertencentes ao mesmo flow tem 7 coisas em comum

  1. todos tem o mesmo ip de origem
  2. todos tem o mesmo ip de destino
  3. todos tem a mesma source port
  4. todos tem a mesma destination port
  5. todos tem de ter o mesmo protocolo L3
  6. Todos tem de ter o mesmo valor de tipo de serviço (TOS value)
  7. Mesmo interface fisico ou virtual.


Os primeiros 4 são os que definem o “flow”

Versão 9 é a ultima versão e já inclui mais campos incluindo MPLS e endereços de IPv6 e portas.
Configuração de exemplo
R1(config)# interface fastethernet0/0
R1(config-if)# ip flow ingress
R1(config-if)# ip flow egress
R1(config-if)# exit
R1(config)# ip flow-export destination 10.1.10.100 99
R1(config)# ip flow-export version 9
R1(config)# ip flow-export source loopback 0
R1(config)# end
maior parte das vezes utiliza a porta 9996 apesar de nao ter porta especifica
Examinar Netflow Cache
R1# show ip cache flow
IP packet size distribution (
255 total packets):
1-32   64   96  128  160  192  224  266  268  320  352  384  416  448  480
.000 .000 .000 1.00 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000

512  544  576 1024 1546 2048 2560 3072 3684 4096 4608
.000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000

IP Flow Switching Cache, 4456704 bytes
1 active, 65535 inactive, 1 added
32 ager polls, 0 flow alloc failures
Active flows timeout in 30 minutes
Inactive flows timeout in 15 seconds
IP Sub Flow Cache, 533256 bytes
1 active, 16383 inactive, 1 added, 1 added to flow
0 alloc failures, 0 force free
1 chunk, 1 chunk added
last clearing of statistics never
Protocol         Total    Flows   Packets Bytes  Packets Active(Sec) Idle(Sec)
——–         Flows     /Sec     /Flow  /Pkt     /Sec     /Flow     /Flow

SrcIf         SrcIPaddress    DstIf         DstIPaddress    Pr SrcP DstP  Pkts
Fa0/0         10.10.1.1       S0/0/0        10.10.2.2       01 0200 0050   255

Confirmar uma implementação de netflow Cisco
R1# show ip flow interface
FastEthernet0/0
  
ip flow ingress
ip flow egress

R1# show ip flow export
Flow export v9 is enabled for main cache
Export source and destination details :
VRF ID : Default
Source(1)       1.1.1.1 (Loopback0)
Destination(1)  10.1.10.100 (99)
Version 9 flow records

0 flows exported in 0 udp datagrams
0 flows failed due to lack of export packet
0 export packets were sent up to process level
0 export packets were dropped due to no fib
0 export packets were dropped due to adjacency issues
0 export packets were dropped due to fragmentation fail ures
0 export packets were dropped due to encapsulation fixup failures
R1#

sflow:

É um protocolo feito de forma mais genérica para métricas de trafego de rede. Esta desenhado para pertencer a qualquer dispositivo de rede e permite fornecer constantes dados estatísticos sobre a rede. (L2, L3, L4 até L7). Com sflow todo o trafego numa rede pode ser caracterizado e monitorizado. 
Estas estatísticas são essenciais para controlo de congestionamento, segurança e desenho de rede.
O equipamento captura uma amostra de pacotes por interface e envia essa amostra para um colector.
Não esta limitado ao IP podendo funcionar também noutros protocolos como IPX, NetBEUI etc.
Utiliza amostras de trafego para as suas estatísticas podendo haver alguma incorrecção.

Qual melhor a usar? 
Depende das nossas necessidades, das capacidades de equipamento e orçamento.