BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƢỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI Nguyễn Công Trung TÌM HIỂU VỀ GIAO THỨC NETFLOW VÀ SỬ DỤNG NETFLOW TRONG VIỆC GIÁM SÁT MẠNG IPBN CỦA VIETTTEL Chuyên ngành: Kỹ thuật máy tính truyền thông LUẬN VĂN THẠC SĨ KĨ THUẬT Ngành Kỹ thuật máy tính truyền thông NGƢỜI HƢỚNG DẪN KHOA HỌC: TS Nguyễn Tuấn Dũng Hà Nội – 2015 MỤC LỤC LỜI CAM ĐOAN LỜI CẢM ƠN DANH MỤC CÁC TỪ VIẾT TẮT DANH MỤC HÌNH ẢNH DANH MỤC BẢNG LỜI NÓI ĐẦU Lý chọn đề tài Lịch sử nghiên cứu Tóm tắt nội dung 10 Phƣơng pháp nghiên cứu 10 CHƢƠNG 1: GIỚI THIỆU VỀ NETFLOW 11 1.1 Giới thiệu giao thức giám sát mạng 11 1.1.1 ICMP 11 1.1.2 SNMP 11 1.1.3 Netflow 12 1.1.4 Các giao thức quản lý, quản trị thiết bị mạng 12 1.2 1.1.4.1 Telnet 12 1.1.4.2 SSH 12 1.1.4.3 RDP 12 1.1.4.4 Syslog 13 Giao thức SNMP 13 1.2.1 Ƣu điểm thiết kế SNMP 13 1.2.2 Nhƣợc điểm SNMP 14 1.3 Giao thức Netflow 14 1.3.1 Các phiên Netflow 15 1.3.2 Hoạt động Netflow 16 1.3.3 Cấu trúc ghi Netflow v9 17 1.3.4 Cơ chế lựa chọn gói tin Netflow thiết bị 19 1.4 Đánh giá ƣu, nhƣợc Netflow 19 1.4.1 Ƣu điểm 19 1.4.2 Nhƣợc điểm 21 CHƢƠNG 2: GIỚI THIỆU VỀ PHẦN MỀM NFDUMP/NFSEN 23 2.1 Giới thiệu phần mềm giám sát mạng sử dụng Netflow 23 2.2 Phần mềm Nfdump 25 2.2.1 Quá trình phân tích xử lý liệu với Nfdump 26 2.2.2 Quá trình xử lý liệu Nfcapd 27 2.2.3 Quá trình xử lý liệu Netflow Nfdump 27 2.2.4 Dữ liệu đầu Nfdump 27 2.2.5 Ƣu nhƣợc điểm Nfdump 30 2.3 2.2.5.1 Ƣu điểm 30 2.2.5.2 Nhƣợc điểm 31 Phần mềm Nfsen 31 2.3.1 Giới thiệu chung 31 2.3.2 Xử lý liệu Netflow với Nfsen 32 2.3.3 Ƣu nhƣợc điểm Nfsen 34 2.3.3.1 Ƣu điểm 34 2.3.3.2 Nhƣợc điểm 34 CHƢƠNG 3: MÔ HÌNH NGHIÊN CỨU 35 3.1 Giới thiệu mạng IPBN 35 3.2 Mô hình nghiên cứu 38 3.3 Kết 39 3.3.1 Giao diện hiển thị hệ thống 39 3.3.2 Sử dụng Nfsen việc giám sát, phân tích đánh giá hệ thống 42 3.4 3.3.2.1 Xác định thông số liệu Netflow qua nút mạng 42 3.3.2.2 Xác định lƣu lƣợng bất thƣờng hệ thống 45 Kết luận 48 KẾT LUẬN VÀ HƢỚNG PHÁT TRIỂN CỦA LUẬN VĂN 49 Kết luận văn 49 Hạn chế luận văn 49 Hƣớng phát triển luận văn 49 TÀI LIỆU THAM KHẢO 50 PHỤ LỤC 51 Phụ lục 1: Cài đặt rrdtool 51 Phụ lục 2: Cài đặt Nfdump 51 Phụ lục 3: Cài đặt Nfsen 51 LỜI CAM ĐOAN Tôi xin cam đoan đề tài nghiên cứu hoàn toàn tự làm dƣới hƣớng dẫn thầy giáo TS Nguyễn Tuấn Dũng Những ết tìm hiểu nghiên cứu trình bày luận văn hoàn toàn trung thực chƣa đƣợc công bố công trình Nếu xảy điều hông nhƣ lời cam đoan trên, xin chịu hoàn toàn trách nhiệm trƣớc Viện Nhà trƣờng LỜI CẢM ƠN Lời đầu tiên, em xin chân thành cảm ơn trƣờng đại học Bách Khoa Hà Nội, viện Công nghệ Thông tin – Truyền thông, chuyên ngành Kỹ thuật Máy tính Truyền thông toàn thể thầy cô ân cần dạy dỗ, bảo, định hƣớng nghiên cứu cho em suốt năm học vừa qua, truyền đạt cho chúng em kiến thức quý báu Em xin chân thành cảm ơn Tiến sỹ Nguyễn Tuấn Dũng dành nhiều tâm huyết, kinh nghiệm thầy để dẫn, định hƣớng nghiên cứu nhƣ luôn góp ý cho em để hoàn thành đề tài luận văn Cuối em xin gửi lời cảm ơn tới gia đình, ngƣời động viên tạo điều kiện tốt cho em học tập, nghiên cứu tới ngƣời bạn giúp đỡ em trình học tập nhƣ hoàn thành đề tài luận văn Em xin chân thành cảm ơn! DANH MỤC CÁC TỪ VIẾT TẮT ASCII American Standard Code for Information Interchange CPU Central Processing Unit DDoS Distributed Denial of Service DGW Domestic Gateway ICMP Internet Control Message Protocol IGW International Gateway IPBN Internet Protocol Backbone Network LACP Link Aggregation Control Protocol LAN Local Area Network LDP Label Distribute Protocol MAC Media Access Control MPLS Multiprotocol Label Switching QoS Quality of Service RAM Random Access Memory RDP Remote Desktop Protocol RFC Request for Comments SNMP Simple Network Management Protocol SSH Secure Shell TCP/IP Transmission Control Protocol/Internet Protocol Telnet Terminal Network WAN Wide Area Network DANH MỤC HÌNH ẢNH Hình 1: Cấu trúc ghi Netflow 17 Hình 2: Cấu trúc phần mở đầu ghi Netflow 17 Hình 3: Các trƣờng Template FlowSet 18 Hình 4: Quá trình xử lý liệu với Nfdump 26 Hình 5: Quá trình xử lý tập tin liệu với Nfdump 27 Hình 6: Dữ liệu đầu Nfdump 27 Hình 7: Cấu trúc thƣ mục mặc định hi cài đặt Nfsen 32 Hình 8: Giao diện hiển thị theo tab Nfsen 32 Hình 9: Giao diện xử lý liệu Netflow 33 Hình 10: Các bƣớc xử lý cảnh báo Nfsen 34 Hình 11: Mô hình tổng quan mạng IPBN 35 Hình 12: Mô hình nghiên cứu triển hai 38 Hình 13: Giao diện home 39 Hình 14: Lƣu lƣợng mạng qua thiết bị 40 Hình 15: Giao diện tab Flows Graphs 41 Hình 16: Giao diện hiển thị tab Detail 42 Hình 17: Sử dụng câu lệnh Nfdump với Nfsen 42 Hình 18: Liệt ê danh sách luồng liệu qua thiết bị mạng 43 Hình 19: Tính hiển thị thông tin nút mạng 43 Hình 20: Liệt ê danh sách 10 lƣu lƣợng lớn 44 Hình 21: Liệt ê danh sách dịch vụ có cổng ết nối nhiều 44 Hình 22: Mô tả chi tiết thành phần lƣu lƣợng mạng qua thiết bị P1_HNI 45 Hình 23: Xác định hoảng thời gian có lƣu lƣợng ICMP lớn 46 Hình 24: Thông tin chi tiết địa IP sử dụng giao thức ICMP 47 DANH MỤC BẢNG Bảng 1: Danh sách phiên Netflow 15 Bảng 2: Bảng mô tả trƣờng phần header ghi Netflow 18 Bảng 3: Các trƣờng Template FlowSet 19 Bảng 4: Bảng so sánh số tính chất SNMP Netflow 22 Bảng 5: Danh sách phần mềm giám sát mạng sử dụng Netflow 25 Bảng 6: Các định dạng với tùy trọn fmt 30 LỜI NÓI ĐẦU Lý chọn đề tài Ngày nay, khoa học phát triển, nhu cầu thông tin ngƣời ngày tăng cao đặc biệt thông tin qua mạng internet Để đảm bảo chất lƣợng dịch vụ, nhà cung cấp việc tăng dung lƣợng đƣờng truyền phải đảm bảo chất lƣợng dịch vụ Để giải vấn đề nhà cung cấp dịch vụ phải có hệ thống giám sát chặt chẽ toàn lƣu lƣợng mạng Việc giám sát lƣu lƣợng mạng theo giao thức SNMP đảm bảo cho việc giám sát lƣu lƣợng tổng thể hông giám sát đƣợc luồng lƣu lƣợng báo gồm chiếm phần tổng thể lƣu lƣợng Việc đời Netflow nhằm phục vụ cho việc giám sát chi tiết thành phần toàn luồng lƣu lƣợng mạng Viettel nhà cung cấp dịch vụ di động cố định hàng đầu Việt nam Để đáp ứng nhu cầu yêu cầu chất lƣợng ngày tăng việc quy hoạch mạng lƣới quan trọng Để làm đƣợc điều việc giám sát đánh giá mạng lƣới vô quan trọng Với thời gian nghiên cứu hƣớng dẫn thầy giáo, học viên hoàn thành đề tài luận văn với nội dung đề Tuy nhiên thời gian hạn chế, vấn đề nghiên cứu với lƣợng kiến thức lớn khó, tránh đƣợc thiếu sót, kính mong nhận đƣợc đóng góp ý iến thầy cô bạn Lịch sử nghiên cứu Giao thức SNMP sử dụng giám sát hệ thống mạng truyền thống không đáp ứng đƣợc yêu cầu Với SNMP, biết lƣu lƣợng tổng thể mà đƣợc chi tiết thành phần tỷ lệ thành phần Netflow đời để bổ sung cho nhƣợc điểm SNMP Nó cho phép giám sát đƣợc chi tiết thành phần luồng lƣu lƣợng mạng Mục tiêu luận văn - Mục tiêu luận văn nghiên cứu giao thức Netflow sử dụng Netflow việc giám sát mạng IPBN Viettel - Nghiên cứu giáo thức Netflow phần mềm Nfdump, Nfsen việc giám sát lƣu lƣợng mạng Tunnel VPN phục vụ cho hách hàng đăng ý sử dụng dịch vụ VPN với gói cƣớc thấp Các lƣu lƣợng hách hàng hi qua mạng lõi đƣợc đảm bảo không bị dịch vụ packet loss không nhiều Tunnel Domestic Internet phục vụ cho traffic nƣớc nội mạng để giám sát băng thông nƣớc, nội mạng 3.2 Mô hình nghiên cứu Netflow Collector Netflow exporter feedback Netflow exporter Querry data Netflow exporter IPBN Netflow Server Netflow exporter Hình 12: Mô hình nghiên cứu triển khai Mô hình nghiên cứu gồm ba phần: Netflow exporter: Đây toàn thiết bị mạng mạng IPBN Viettel đƣợc cấu hình để xuất liệu Netflow Nhân viên Viettel thực cấu hình Netflow cho thiết bị mạng trỏ máy chủ Netflow Collector Netflow Collector/ Netflow Server: Máy chủ chạy hệ điều hành Redhat (RHEL 5), có cài đặt phần mềm Nfdump làm Netflow Collector Nfsen Máy chủ trở thành Netflow Server ứng dụng tƣơng tác với ngƣời dùng Ngƣời dùng: Là máy tính cá nhân, truy vấn thông tin Netfow thông qua giao diện Web 38 3.3 Kết 3.3.1 Giao diện hiển thị hệ thống Sau hi thực cài đặt, cấu hình máy chủ Netflow Collector/Netflow Server sử dụng phần mềm Nfdump/Nfsen cấu hình Netflow cho thiết bị mạng Tab Home Phần chứa toàn thông tin chung phần mềm, tất các view hệ thống Hình 13: Giao diện home Trong giao diện home chứa thông tin liệu tất node mạng Dữ liệu hiển thị thành bốn hàng: - Hàng hiển thị liệu theo mức ngày - Hàng thứ hai hiển thị liệu theo mức tuần - Hàng thứ ba hiển thị liệu theo mức tháng - Hàng thứ tƣ hiển thị liệu theo mức năm Tại hàng thể hiên ba loại: liệu flows/s, pac ets/s, bits/s 39 Hình 14: Lƣu lƣợng mạng qua thiết bị Trong đồ thị trục tung giá trị lƣu lƣợng, trục hoành thời gian màu sắc thể lƣu lƣợng thiết bị - Lƣu lƣợng flows P1_HNI: Màu xanh - Lƣu lƣợng flows P1_HNI: Màu da cam - Lƣu lƣu lƣợng flows HCM_IW1: Màu tím … Tab Graphs Hiển thị chi tiết graphs, tab gồm ba tab nhỏ hiển thị chi tiết: - Tab flows: Thông tin chi tiết flows thiết bị mạng - Tab pa ets: Thông tin chi tiết pac ets thiết bị mạng - Tab traffics: Thông tin chi tiết lƣu lƣợng traffics thiết bị mạng 40 Hình 15: Giao diện tab Flows Graphs Tab Details Tab Details thể chi tiết lƣu lƣợng 41 Hình 16: Giao diện hiển thị tab Detail Trong phần ta chọn hiển thị liệu theo thời gian xác – chọn Singe Timeslot Việc giám sát lƣu lƣợng chi tiết thiết bị thuận tiện hai thao tác: kích chọn thiết bị mục Channel, hai chọn lựa chọn cửa sổ hình di chuyển đến thời gian cần giám sát – nhƣ hình hoảng 9h pm Trên cửa sổ channel, ta thấy chi tiết loại lƣu lƣợng node mạng P2_HNI Để giám sát chi tiết ta chọn thời gian hiển thị nhỏ hơn, ví dụ 12h thay cho ngày nhƣ hình - việc thay đổi lựa chọn việc chọn vào mục Display Ta giám sát liệu khoảng thời gian xác – chọn Time Window Với việc lựa chọn ta có hai éo để xác định khung thời gian cần giám sát 3.3.2 Sử dụng Nfsen việc giám sát, phân tích đánh giá hệ thống 3.3.2.1 Xác định thông số liệu Netflow qua nút mạng Với Nfdump, Nfsen cho phép hiển thị thông tin chi tiết liệu netflow thiết bị mạng tƣơng tự nhƣ việc sử dụng câu lệnh với Nfdump (Nfdump Command Line): - Source: Chọn node mạng cần phân tích - Filter: Hiển thị nội dung cần thực lọc - Option: Các tùy chọn cho việc hiển thị Hình 17: Sử dụng câu lệnh Nfdump với Nfsen Với việc hiển thị danh sách 20 lƣu lƣợng flow qua node mạng P2_HCM, phần Source chọn node P2_HCM, phần option ta chọn List Flows nhập vào giới hạn số lƣợng hiển thị Limit to 20 42 Hình 18: Liệt kê danh sách luồng liệu qua thiết bị mạng Hiển thị thông tin thiết bị mạng: Di chuột đến địa IP thiết bị mạng ta thấy phần thông tin chi tiết thiết bị mạng Hình 19: Tính hiển thị thông tin nút mạng Để phân tích thời điểm luồng lƣu lƣợng qua node mạng lớn nhất, ta chọn Start TopN mục Option phần Top ta chọn danh sách số lƣợng lƣu lƣợng đƣợc hiển thị 43 Hình 20: Liệt ê danh sách 10 lƣu lƣợng lớn Liệt kê danh sách cổng kết nối nhiều Mỗi dịch vụ thƣờng gắn với cổng định, đặt theo mặc định hay theo ngƣời quản trị cấu hình Để phân tích khoảng thời gian định (có thể thời điểm – Single Timeslot, khoảng thời gian Window Time), ta chọn Option, mục Stat chọn DST Port Hình 21: Liệt kê danh sách dịch vụ có cổng kết nối nhiều 44 3.3.2.2 Xác định lƣu lƣợng bất thƣờng hệ thống Việc giám sát với Netflow cho phép ta xác định đƣợc lƣu lƣợng bất thƣờng hệ thống Thông qua tính đặt ngƣỡng cảnh báo hệ thống, có lƣu lƣợng bất thƣờng, hệ thống gửi cảnh báo tới email ngƣời quản trị Khi nhận đƣợc thông báo lƣu lƣợng ICMP node mạng P1_HNI bất thƣờng – tăng cao đột biến, ngƣời quản trị vào hệ thống kiểm tra Khi vào hệ thống giám sát, ta thấy đƣợc lƣu lƣợng ICMP cao bất thƣờng khoảng thời gian xác định Hình 22: Mô tả chi tiết thành phần lƣu lƣợng mạng qua thiết bị P1_HNI Chọn ICMP, lựa chọn giám sát (Time Window) có lƣu lƣợng ICMP cao bất thƣờng 45 Hình 23: Xác định khoảng thời gian có lƣu lƣợng ICMP lớn 46 - Ta xác định IP nguồn thực gửi nhiều nhất, dung lƣợng thời gian thực Nhƣ ết phía dƣới, ta thấy có 02 IP thực ping khoảng thời gian lớn 9118 273 s Hình 24: Thông tin chi tiết địa IP sử dụng giao thức ICMP 47 3.4 Kết luận Với ết đạt đƣợc việc giám sát hệ thống với Netflow cho thấy ƣu điểm hông thể thay Netflow việc giám sát hệ thống mạng ngày Hỗ trợ quản trị vận hành hai thác: - Dễ dàng phát lƣu lƣợng bất thƣờng hệ thống, đâu nguyên nhân gây - Đƣa cảnh báo hi vƣợt ngƣỡng giá trị cho phép Hỗ trợ việc tối ƣu mạng lƣới: - Đánh giá đƣợc tỷ trọng dịch vụ phát triển mạng lƣới, qua tối ƣu dung lƣợng cho dịch vụ Hỗ trợ việc phân tích thiết ế phát triển mạng lƣới: - Qua số liệu thống ê đánh giá đƣợc xu hƣớng phát triển dịch vụ, đƣa tiêu cho việc phát triển, mở rộng hệ thống tƣơng lai - Đánh giá đƣợc nhu cầu hách hàng làm sở cho ế hoạch mở rộng mạng lƣới 48 KẾT LUẬN VÀ HƢỚNG PHÁT TRIỂN CỦA LUẬN VĂN Kết luận văn - Giới thiệu giao thức sử dụng giám sát mạng truyền thống giao thức Netflow Đánh giá đƣợc ƣu nhƣợc điểm Netflow việc giám sát hệ thống mạng - Trình bày đƣợc phần mềm sử dụng Netflow việc giám sát hệ thống mạng - Làm chủ đƣợc phần mềm mã nguồn mở sử dụng Netflow việc giám sát hệ thống mạng cài đặt thành công hệ thống giám sát mạng IPBN Viettel sử dụng Netflow Thông qua Nfsen, ta giám sát đƣợc lƣu lƣợng bất thƣờng hệ thống Hạn chế luận văn - Chƣa tìm hiểu đƣợc ảnh hƣởng chi tiết Netflow lên thiết bị sử dụng - Phần mềm Nfdump/Nfsen triển khai hệ thống giám sát Viettel chƣa sử dụng hết tính phần mềm, chƣa phát triển thêm công cụ bổ sung, tối ƣu cho phần mền Hƣớng phát triển luận văn - Tìm hiểu đánh giá ảnh hƣởng Netflow lên thiết bị: Khi thay đổi tham số cấu hình Netflow tải thiết bị thay đổi nhƣ nào; qua việc đánh giá đƣa tham số cấu hình tƣơng ứng cho dòng thiết bị - Phát triển thêm tiện ích cho phần mềm Nfsen: Phát triển thêm công cụ gửi thông tin cảnh báo nhƣ gửi mail, tin nhắn đến số điện thoại ngƣời nhận có cảnh báo vƣợt ngƣỡng 49 TÀI LIỆU THAM KHẢO [1] Mike Chapple, Ph.D (2012) Netflow Security Monitoring For Dummies,John Wiley & Sons Inc, 111 River Street [2] http://netflow.caligare.com/rfc_2720.txt- RFC 2720 - Traffic Flow Measurement: Meter MIB: [3] http://netflow.caligare.com/rfc_3334.txt - RFC 3334 - Policy-Based Accounting [4] http://netflow.caligare.com/rfc_3917.txt - RFC 3917 - Requirements for IP Flow Information Export (IPFIX) [5] http://netflow.caligare.com/rfc_3954.txt - RFC 3954 - Cisco Systems NetFlow Services Export Version [6] http://netflow.caligare.com/rfc_3955.txt - RFC 3955 - Candidate Protocols for IP Flow Information Export (IPFIX) [7] http://nfsen.sourceforge.net [8] http://nfdump.sourceforge.net/ 50 PHỤ LỤC Phụ lục 1: Cài đặt rrdtool cd /tmp wget http://oss.oetiker.ch/rrdtool/pub/rrdtool.tar.gz tar xzfv rrdtool.tar.gz cd rrdtool-1.4.5/ /configure -prefix=/usr/local/rrdtool -disable-tcl make make install Phụ lục 2: Cài đặt Nfdump cd /tmp http://jaist.dl.sourceforge.net/project/nfdump/stable/nfdump-1.6.13/nfdump1.6.13.tar.gz cd nfdump-1.6.13/ /configure –with-rrdpath=/usr/local/rrdtool –with-ftpath=source –enable- nfprofile make make install Phụ lục 3: Cài đặt Nfsen Một số phần mềm cần thiết phải cài đặt trƣớc cài Nfsen - PHP - Perl: Với perl thì cần cài thêm hai modun mở rộng perl Mail::Header, Mail::Internet - RRD tool (nhƣ cài đặt phụ lục 1) - Phần mềm Nfdump 51 cd /tmp wget http://sourceforge.net/projects/nfsen/files/stable/nfsen-1.3.6/nfsen- 1.3.6.tar.gz/download tar xzf nfsen-1.3.6.tar.gz cd nfsen-1.3.6 ####################################### useradd nfsen Sửa thông số cài đặt file cp –p etc/nfsen-dist.conf /etc/etc/nfsen.conf vi /etc/nfsen.conf $BASEDIR = “/usr/local/nfsen”; $HTMLDIR = “/var/www/nfsen/”; $USER = “nfsen”; $WWWUSER = “nfsen”; $WWWGROUP = “nfsen”; %sources = ( „m00nies-ASA‟ => { „port‟ => ‟2055′, „col‟ => „#000fff‟, „type‟ => „netflow‟ }, „Another-ASA‟ => { „port‟ => ‟2056′, „col‟ => „#0000ff‟, „type‟ => „netflow‟ }, „An-IOS-netflow-source‟ => { „port‟ => ‟2057′, „col‟ => „#00000f‟, „type‟ => „netflow‟ } /install.pl /etc/nfsen-dist.conf chown -R nfsen /usr/local/nfsen /usr/local/nfsen/bin/nfsen start 52 ... dựa giao thức Netflow phần mềm Nfdump, Nfsen Tóm tắt nội dung - Tìm hiểu giao thức Netflow, đánh giá ƣu nhƣợc điểm việc giám sát lƣu lƣợng mạng - Tìm hiểu sử dụng Netflow để giám sát mạng lƣới... nhƣợc Netflow 1.4.1 Ƣu điểm - Giám sát mạng chi tiết mạng hỗ trợ phân tích ứng dụng: 19 Việc sử dụng Netflow để giám sát gần nhƣ việc giám sát hệ thống mạng với thời gian thực Kỹ thuật phân tích Netflow. .. lƣợng mạng Việc giám sát lƣu lƣợng mạng theo giao thức SNMP đảm bảo cho việc giám sát lƣu lƣợng tổng thể hông giám sát đƣợc luồng lƣu lƣợng báo gồm chiếm phần tổng thể lƣu lƣợng Việc đời Netflow