ネットワークの監視と分析

NetFlowプロトコルを使ったWAN監視

Ciscoが開発したネットワークトラフィック情報の収集技術「NetFlowプロトコル」の概要と、その導入に当たっての注意点について説明する。

公開 2008年02月07日 04時00分

更新 2012年09月06日 13時15分

著者

Tom Lancaster

[TechTarget]

印刷する

　「NetFlowプロトコル」は、ルータやスイッチなどのネットワークデバイスを通過するトラフィックについて膨大な情報を収集する技術だ。この情報には、ユーザーやアプリケーションの監視からトレンディング、ネットワーク計画まで、非常に多くの使い道がある。この情報でトラフィックエンジニアリングを実現することもできる。また、アカウンティングや課金に利用できるほど詳細だ。ネットワーク管理者にとっては難しいパフォーマンス問題の診断の際に非常に有用であり、大量のトラフィックが行き交うため従来のツールでは手に負えないDDoSやワームの問題を解決するのに役立つことが重要だろう。

　NetFlowスイッチングというルータの高速化技術もあるが、本稿で取り上げるのは、ネットワークデバイスからネットワークトラフィックに関する情報をサーバに転送するために使われるNetFlowプロトコルだ。こうしてトラフィックデータを収集、保存するサーバは、「NetFlowコレクタ」と呼ばれる。NetFlowプロトコルはCiscoが何年も前に開発したもので、同社やほかのネットワークハードウェアメーカーがさまざまな形でサポートしている。一方、サンプリングを使用するsFlowのような競合技術を提供しているメーカーもある。NetFlowの最新バージョンはバージョン9だ。

　NetFlowはプロプライエタリな技術だが、NetFlowをベースにしたIP Flow Information Export（IPFIX）の標準化がIETFで進められている。RFC 3954（IETF標準を規定するものではないInformational RFC）で、NetFlowバージョン9のデータエクスポート形式の仕様が記述されている。

　このRFCの公開は、2つの大きな成果につながっている。

　その1つは、非CiscoデバイスからNetFlowコレクタへのデータ転送が可能になったことだ。RiverbedのWAN最適化アプライアンスがその一例だ。これらの製品は通常、WANのエッジに置かれる。これは、WANの最適化にかかわる重要なデータをネットワーク上で収集するのに理想的な場所だ。最適化前後のパケットの情報を取得できるからだ。こうしたデバイスは、NetFlow形式でデータをエクスポートできる。

　もう1つの成果は、管理ソフトウェアベンダーが、従来のSNMP/mini-RMONよりもはるかに詳細な情報源に直接アクセスできるようになったことだ。

NetFlowの導入

　NetFlowの導入を検討する際には、幾つかの点に注意しなければならない。

　NetFlowを使うと、ネットワークデバイスのCPU使用率が上がることがよく知られている。Ciscoのパフォーマンステストの結果を見ると、新しいハードウェアならこの負荷にうまく対応できそうだ。しかし、NetFlowを導入する前に、実際にテストしておく必要がある。非常に大きなジッタの発生や遅延の増加はCPU使用率が高い表れだ。また、デバイス上のサービスも影響を受けるかもしれない。

　ネットワーク上で送信するNetFlowデータの量にも注意しなければならない。トラフィック量やNetFlowの設定によっては、NetFlowトラフィックが膨大になる場合がある。例えば、データセンタースイッチからのNetFlowデータを低速なWAN経由でNetFlowコレクタに転送するのは避けた方が無難だ。また、多数のデバイスからNetFlowデータを集約することで、NetFlowトラフィックが増大する場合もある。

本稿筆者のトム・ランカスター氏は、ネットワーク業界で15年の経験を持つコンサルタントで、CCIEおよびCNXの資格を有している。ネットワーキングに関する著作（共著）もある。最近の著作としては、「CCSP: Secure PIX and Secure VPN Study Guide」がある。

印刷する