Los 5 mejores colectores de NetFlow para Linux en 2021

La gestión de redes requiere el uso de herramientas especializadas que le brinden la visibilidad necesaria para garantizar que todo funcione sin problemas en todo momento. A diferencia del tráfico por carretera, donde las ralentizaciones y las obstrucciones se pueden identificar fácilmente, el tráfico de la red no es algo que sea fácil de ver. Es por eso que herramientas como NetFlow pueden ayudar. La tecnología NetFlow puede brindarle información sobre qué tráfico atraviesa su red en lugar de cuánto tráfico hay. Siga leyendo mientras revisamos algunos de los mejores recopiladores y analizadores de NetFlow para Linux.

Comenzaremos nuestro viaje discutiendo los diferentes métodos que los administradores de red pueden usar para monitorear su red y localizar y solucionar problemas antes de que se conviertan en problemas reales. Luego, explicaremos qué es NetFlow, cómo funciona y qué se necesita para explotarlo. Y mientras estamos allí, también discutiremos algunas alternativas de NetFlow que podrían ser de interés. Luego nos sumergiremos en el meollo del asunto y revisaremos algunos de los mejores recolectores y analizadores de NetFlow disponibles para la plataforma Linux. De acuerdo con la filosofía de código abierto de Linux, algunos de ellos están disponibles de forma gratuita, mientras que otros requieren una compra o una suscripción.

Monitoreo de redes

Como administrador de red, una de sus responsabilidades es asegurarse de que todo funcione sin problemas, de que no haya ralentizaciones y de que todo el tráfico de la red llegue a su destino en un tiempo aceptable. Desafortunadamente, lo que sucede en una red ocurre dentro de cables, enrutadores, conmutadores y otros equipos donde normalmente es muy difícil ver lo que está sucediendo. De aquí es de donde proviene el concepto de monitoreo de red. Con diferentes herramientas, los administradores pueden obtener cierta visibilidad de lo que sucede dentro de la red.

Utilidades de la línea de comandos

Hay varias herramientas que los administradores pueden usar para monitorear su red. Las herramientas más básicas son las herramientas de diagnóstico de línea de comandos. Probablemente los conozca y los esté usando constantemente. Ping, por ejemplo, le permite validar que se puede alcanzar una dirección IP determinada y proporcionar algunas estadísticas sobre retrasos de ida y vuelta y pérdida de paquetes. Tracert, o traceroute, según su sistema operativo, rastreará la ruta de red completa entre dos dispositivos. Nmap enumerará todos los dispositivos que están presentes en una subred específica.

Herramientas de captura y análisis de paquetes

A continuación, están las herramientas de monitoreo de red que le permitirán capturar el tráfico que pasa por una ubicación específica y que le permitirán decodificar los paquetes y analizarlos. Pueden ser muy útiles cuando se intenta resolver problemas de la capa de aplicación, pero a menudo no le brindarán mucha información sobre el rendimiento real de su red. Una de esas herramientas que se ha vuelto muy común se llama Wireshark. Tcpdump es otra herramienta similar que utiliza una interfaz de línea de comandos en lugar de una GUI.

Software de análisis de flujo

Para obtener la vista más precisa de lo que está sucediendo, analice el flujo de lo que necesita. Se basa en dispositivos de red para enviar información de tráfico, sistemas denominados recopiladores y / o analizadores que, a su vez, pueden interpretar los datos de flujo y presentarlos de manera significativa. El protocolo que permite esto se llama NetFlow. Fue creado por Cisco Systems hace varios años, pero ahora se usa comúnmente de una forma u otra en equipos de red de la mayoría de los principales fabricantes.

¿Qué es NetFlow?

NetFlow fue desarrollado por Cisco Systems y se introdujo en sus enrutadores para brindar la capacidad de recopilar tráfico de red IP cuando ingresa o sale de una interfaz. Luego, los administradores de red analizan los datos recopilados para ayudar a determinar el origen y el destino del tráfico, la clase de servicio y las causas de la congestión.

El exportador de flujo agrega paquetes en flujos y exporta registros de flujo hacia uno o más recolectores de flujo. Este es el componente que se ejecuta en los dispositivos monitoreados.

El recolector de flujo es responsable de la recepción, almacenamiento y preprocesamiento de los datos de flujo recibidos de un exportador de flujo.

Finalmente, el flujo de Analy zer es una aplicación que se utiliza para analizar los datos de flujo recibidas. El análisis se puede utilizar para la elaboración de perfiles de tráfico o para la resolución de problemas de red.

Cómo funciona NetFlow

Los enrutadores, conmutadores y cualquier otro dispositivo que admita NetFlow se pueden configurar para generar datos de flujo en forma de registros de flujo y enviarlos a un colector NetFlow. Un flujo es una conversación completa en el sentido de IP. El dispositivo que prepara los registros de flujo normalmente los envía al recopilador cuando determina que el flujo finalizó, ya sea por caducidad (no ha habido tráfico dentro de un tiempo de espera específico) o cuando ve la terminación de una sesión TCP.

El registro de flujo contiene mucha información sobre el flujo. Incluye las interfaces de entrada y salida, las marcas de tiempo de inicio y finalización del flujo, la cantidad de bytes y paquetes que contiene, los encabezados de capa 3, la dirección IP y el número de puerto de origen y destino, el protocolo IP y el valor TOS. . Los registros de flujo no contienen los datos reales que componen el flujo. El único contiene información sobre el flujo. Esto es importante desde el punto de vista de la seguridad.

Excepto en grandes entornos de múltiples sitios, los colectores de flujo a los que se envían los registros suelen ser también los analizadores de flujo. Utilizan la información contenida en los registros de flujo para presentar datos sobre el tráfico de la red de una manera que sea útil para los administradores de la red. Los diferentes recolectores y analizadores de NetFlow tendrán diferentes formas de presentar los datos. Aquí es donde nuestra lista de los mejores colectores y analizadores NetFlow será útil.

Algunas alternativas a NetFlow

Como ya hemos insinuado, NetFlow existe con varios nombres diferentes. Pero también existen alternativas a NetFlow, las dos más conocidas son sFlow e IPFIX. Este último se basa en gran medida en la última versión de NetFlow, excepto que es un estándar IETF. Somos libres de pensar que Cisco podría eventualmente reemplazar NetFlow con IPFIX.

En cuanto a sFlow, es un sistema diferente y competitivo. Su objetivo y principios generales de funcionamiento son similares pero diferentes. Algunos analizadores NetFlow también funcionan con sFlow pero, en términos generales, los usuarios de uno no utilizan el otro.

Los mejores colectores de NetFlow para Linux

Hemos buscado en el mercado los mejores analizadores y recopiladores de NetFlow para Linux. Lo que tenemos para usted son cinco de los mejores productos que pudimos encontrar, en orden de preferencia con nuestro favorito en la parte superior de la lista. Revisemos cada uno y exploremos sus características principales con el objetivo de ayudarlo a elegir el paquete que mejor se adapte a sus necesidades.

1. Analizador ManageEngine NetFlow

ManageEngine NetFlow Analyzer ofrece al administrador de la red una vista detallada de la utilización del ancho de banda de la red, así como de los patrones de tráfico. El producto está controlado por una interfaz basada en web y ofrece una impresionante cantidad de vistas diferentes en su red.

Puede, por ejemplo, ver el tráfico por aplicación, conversación, protocolo y varias opciones más. También puede configurar alertas para advertirle de posibles problemas. Por ejemplo, puede establecer un umbral de tráfico en una interfaz específica y recibir una alerta cuando el tráfico lo supere.

Pero la mayor parte de la fuerza del producto proviene de sus informes y su panel de control. La herramienta viene con varios informes prediseñados muy útiles que están diseñados específicamente para propósitos específicos, como resolución de problemas, planificación de capacidad o facturación. Pero no está atascado con los informes integrados, ya que la herramienta también permite a los administradores crear informes personalizados a su gusto.

En cuanto al tablero de la herramienta que mencionamos, es tan impresionante como sus informes. Incluye varios gráficos circulares con cosas como aplicaciones principales, protocolos principales o conversaciones principales. También puede mostrar un mapa de calor con el estado de las interfaces monitoreadas. Y, como habrá adivinado, los paneles se pueden personalizar para incluir solo la información que le resulte útil. El panel también es donde se muestran las alertas en forma de ventanas emergentes. Y para el administrador de red en movimiento, hay una aplicación para teléfono inteligente que le permitirá acceder al panel de control y a los informes.

ManageEngine NetFlow Analyzer es compatible con la mayoría de las tecnologías de flujo, incluidas NetFlow (por supuesto), IPFIX, J-flow, NetStream y algunas otras. Como beneficio adicional, también tiene una excelente integración con los dispositivos Cisco, con soporte para ajustar la configuración del tráfico y / o las políticas de QoS directamente desde la herramienta.

Como muchos productos de la competencia, ManageEngine NetFlow Analyzer viene en dos versiones. La versión gratuita será idéntica a la de pago durante los primeros 30 días, pero luego volverá a monitorear solo dos interfaces de flujos. Si bien esto no es mucho, podría ser todo lo que necesita.

Si desea la versión paga, las licencias están disponibles en varios tamaños, desde 100 a 2500 interfaces o flujos con precios que varían entre aproximadamente $ 600 y más de $ 50K más las tarifas de mantenimiento anuales.

2. Escrutador

Scrutinizer de Plixer es otro gran analizador de NetFlow. De hecho, es incluso más que eso y muchos lo ven como un sistema completo de respuesta a incidentes. Con su capacidad para monitorear diferentes tipos de flujo como NetFlow, J-flow, NetStream e IPFIX, no está limitado a monitorear solo dispositivos Cisco.

Con su diseño jerárquico, Scrutinizer ofrece una recopilación de datos optimizada y eficiente y le permite comenzar con poco y escalar fácilmente hasta muchos millones de flujos por segundo. A menudo, se culpa primero a la red cuando algo sale mal. Con Scrutinizer, puede encontrar rápidamente la causa real de la mayoría de los problemas de red. Scrutinizer funciona tanto en entornos físicos como virtuales y viene con funciones avanzadas de informes.

Scrutinizer viene en cuatro niveles de licencia que van desde la versión básica gratuita hasta el nivel SCR completo, que puede escalar hasta más de 10 millones de flujos por segundo. La versión gratuita está limitada a 10 mil flujos por segundo y solo mantendrá los datos de flujo sin procesar durante 5 horas, pero debería ser más que suficiente para solucionar problemas de red. También puede probar cualquier nivel de licencia durante 30 días, después de lo cual volverá a la versión gratuita. La herramienta está disponible como dispositivo de hardware o como dispositivo virtual que puede ejecutarse en un host Linux a través de KVM.

3. nProbe y ntopng

nProbe y ntopng son herramientas de código abierto algo más avanzadas y más complicadas. Ntopng es una herramienta de análisis de tráfico basada en web para monitorear redes basadas en datos de flujo, mientras que nProbe es un exportador y recopilador de NetFlow e IPFIX. Juntos, forman un paquete de análisis muy flexible. Si ha administrado redes Linux antes, es posible que esté familiarizado con ntop. ntopng es la versión GUI de próxima generación de esta herramienta sin edad.

Hay una versión comunitaria gratuita de ntopng y también puede comprar versiones empresariales. Pueden ser costosos, pero son gratuitos para organizaciones educativas y sin fines de lucro. En cuanto a nProbe, puedes probarlo gratis pero está limitado a un total de 25 000 flujos exportados. Para ir más allá, deberá adquirir una licencia.

Como la mayoría de las herramientas modernas de análisis de redes, ntopng presenta una interfaz de usuario basada en web que puede presentar datos por tráfico, como los principales emisores, flujos, hosts, dispositivos e interfaces. Tiene una combinación de cuadros, tablas y gráficos. la mayoría cuenta con opciones de desglose que le permiten explorar con mayor profundidad. La interfaz es bastante flexible y permite mucha personalización.

4. FlowScan

FlowScan es una especie de herramienta de visualización que puede utilizar para analizar los datos de Netflow e informar sobre ellos. Puede producir gráficos visuales casi en tiempo real que le muestran lo que está sucediendo en su red. FlowScan se puede implementar en un sistema GNU / Linux o BSD. Utiliza varios otros paquetes para recopilar y procesar correctamente los flujos. Por ejemplo, Cflowd se utiliza como colector de flujo. FlowScan es en realidad un script de Perl que constituye la mayor parte del paquete de software. Este componente es responsable de cargar y ejecutar informes. Un último componente importante es RRDtool, una herramienta popular para almacenar datos en bases de datos por turnos y trazar esos datos en gráficos, que se utiliza para almacenar información de flujo y producir gráficos útiles.

Los administradores de red a menudo descubren que han recopilado muy pocos o demasiados datos. El perfil de flujo proporcionado por FlowScan ofrece un compromiso pragmático entre estos extremos en la recopilación de datos. Debido a que los flujos agregan datos recopilados a medida que los paquetes viajan a través de un puerto o interfaz determinados, se pueden usar como una especie de abreviatura para series de paquetes que viajan entre los puntos finales de interés. Pero esta característica por sí sola es insuficiente para un uso continuo confiable: se necesitan herramientas de software adicionales para definir, analizar y analizar estos flujos. Estas herramientas adicionales se incluyen con FlowScan.

5. inMon sFlowTrend (mención especial)

Aunque no es un recopilador y analizador de NetFlow, sino uno que maneja sFlow, sentimos que sFlowTrend merecía estar en esta lista. Puede ejecutarse en Linux y si los componentes de su red usan sFlow en lugar de NetFlow, es una de las mejores herramientas disponibles. La herramienta es de inMon, la empresa detrás de sFlow. Es una herramienta básica y algo limitada pero muy capaz. La versión gratuita del software le permite recopilar datos de hasta cinco conmutadores, enrutadores o hosts habilitados para sFlow y solo mantendrá los datos del historial en la RAM durante una hora. Debería ser suficiente para solucionar la mayoría de los problemas de red. Y si desea intensificar las cosas, puede actualizar a la versión pro, a un costo, por supuesto, que elimina el límite de número de dispositivos y almacena los datos del historial en el disco.

La pestaña Panel de control de sFlowTrend proporciona una vista rápida del estado actual de los dispositivos y redes monitoreados, incluye umbrales e interfaces de nivel superior con errores potenciales. Cuando se hace clic en la pestaña Red, sflowTrend revela estadísticas de rendimiento resumidas y tráfico detallado a nivel de red o dispositivo. Se pueden definir umbrales de alerta. Le permite recibir alertas cuando se produce un uso de ancho de banda superior al habitual o un error de red. Incluso hay una pestaña de causa raíz donde puede profundizar en la causa de un problema, como una violación de umbral.

La pestaña Hosts es donde encontrará información más detallada sobre cada dispositivo. Proporciona datos de rendimiento en red, CPU, disco, etc., para servidores habilitados para sFlow, incluidos los virtuales. En la pestaña Servicios, encontrará datos de rendimiento para aplicaciones (incluidos varios servidores web) que exportan datos de sFlow. En la pestaña Eventos, encontrará un registro de eventos como umbrales excedidos o errores detectados. Y finalmente, la pestaña Informes proporciona varios informes predefinidos, pero también admite la creación de informes personalizados. Aquí es donde irá para ejecutar informes y luego ver sus resultados.

sFlowTrend está escrito en Java y viene con una interfaz de usuario basada en Java o en la web. Está disponible para Linux, Windows y Mac. También hay ayuda en línea disponible para ayudarlo a configurar y usar la herramienta. Es una gran herramienta, especialmente para organizaciones más pequeñas con equipos habilitados para sFlow. Y la ruta de actualización a la versión pro la convierte en una opción igualmente válida para redes más grandes.

Terminando

Aunque algunos de los mejores recolectores y analizadores de NetFlow, como SolarWinds NetFlow Traffic Analyzer, solo se ejecutarán en máquinas con Windows, todavía hay muchas opciones disponibles si la plataforma de herramientas de monitoreo que elijas es Linux. Entre productos comerciales como ManageEngine NetFlow Analyzer o Plixer's Scrutinizer y herramientas de código abierto, debe haber uno que se adapte perfectamente a sus necesidades.

Todos los productos que acabamos de revisar son excelentes opciones. Es posible que algunos no sean tan completos o que requieran un poco más de trabajo para configurarlos, pero cualquiera de ellos hará su trabajo y lo hará bien. Y dado que todos ofrecen algún tipo de prueba gratuita, o son completamente gratuitos, no hay razón para no probar algunos de ellos y ver por sí mismo cuál es el adecuado para usted.