フローコレクタの無視リスト機能の設定

はじめに

このドキュメントでは、無視リストを使用して、特定のエクスポータからの着信NetFlowを拒否するようにSNAフローコレクタを設定する方法について説明します。

バックグラウンド情報

「特定のエクスポータからの着信NetFlowを拒否するようにSNAフローコレクタに指示する方法はありますか。」という質問が頻繁に発生します。

答えは「はい」です。これは、フローコレクタの「リストを無視」機能を使用して実行されます。

設定

リストを無視する機能は、フローコレクタに固有のものです。  SNA 7.xの新しいバージョンでは、この機能はSNAマネージャWeb UIのフローコレクタ設定ページ内で使用できます。

このページを使用して、Flow Collectorcompletelyignorestrafficの対象となるホストまたはサブネットを無制限に指定します。 Flow CollectorがこれらのIPアドレスに起因するトラフィックを確認する場合、そのトラフィックをグラフまたはテーブルから除外します。  無視されるホストとの間でやり取りされるすべてのトラフィックを信頼できることを確認してください。Secure Network(SNAT)では、このトラフィックは分析されず、これらのホストを含むようにスプーフィングされたトラフィックも分析されません。これらのホスト/サブネットの1つを含む攻撃がネットワークで開始された場合、Flow Collectorはそれを報告できません。

FAQ

スマートライセンスの1秒あたりのフロー(FPS)計算での無視リストの効果 

正解：無視リストにホストのIPアドレスまたは範囲を追加すると、これらのフローはすべて、SMCに送信されてスマートライセンスレポートに使用される計算済みFPSレートにカウントされなくなります。  フローは、SMCダッシュボードに表示されるフロー傾向グラフに表示/カウントされなくなりました。

クライアントがスプリットトンネルモードでNVMフローを処理する場合、ignore list機能はどのように使用されますか。

お客様は、AnyConnectを設定して、オンネットワークトラフィックとオフネットワークトラフィック（スプリットトンネル）を送信できます。 オフネットワークトラフィックはエンドポイントローカルIPアドレスを使用します。おそらく、このアドレスには重複するIPが含まれます。SNAは重複IPをサポートしていないため、スプリットトンネルの問題を回避するためにリストを無視する機能を使用することが推奨されています。これにより、NVMベースのフローを検出に使用する利点を維持できます。

この使用例では、「無視リスト」を設定して、フローキャッシュからのオフネットワークNVMフロー→flow_stats、フロー検索、カスタムセキュリティイベントを防止します。

1. IPアドレスとネットワークマスクを無視リストに追加します(例：192.168.1.0/24、127.0.0.1/24の追加)
2. nvm_flowsに引き続きNVMフローが入力されていることを確認します
3. srcまたはdstのIPが無視リストに含まれている場合は、flow_statsにNVMフローがないことを確認します

エクスポータ全体からのフローを無視する無視リストを使用できますか。 いいえ。無視リストはエクスポータのデータではなくフローデータに基づいているため、エクスポータのIPアドレスを無視リストに追加すると、エクスポータのIPアドレスがフローの送信元または宛先としてリストされているフローデータは実質的に無視され、その特定のエクスポータからのすべてのフローレコードは無視されません