Filtragem flexível do NetFlow com monitor de desempenho
Contents
Introduction
Este documento descreve como filtrar certos IPs para não serem registrados pelo NetFlow.
Contribuição de Vishal Kothari, engenheiro do Cisco TAC.
Prerequisites
Requirements
A Cisco recomenda que você conheça o Flexible NetFlow.
Componentes Utilizados
As informações neste documento são baseadas nestas versões de software e hardware:
- 3650 Switch
- Roteador de serviço integrado (ISR) 4351
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.
Configurar
Nesta seção, você deve filtrar a lista de IPs que não precisam ser registrados pelo NetFlow, o que significa ainda que o roteador não deve enviar detalhes sobre a origem e o destino do IP definido em uma ACL. Como você pode conseguir isso com o Flexible NetFlow? Você vai descobrir aqui.
Diagrama de Rede
Configurações
Prepare uma lista de todas as redes que você deseja filtrar ao enviá-la ao NetFlow Collector. Neste exemplo, o tráfego telnet deny/filter é enviado a um coletor e permite todos os outros tráfegos.
Configuração do ISR4351:
IP access-list extended acl-filter
deny tcp host 10.10.10.1 host 10.10.10.2 eq telnet
deny tcp host 10.10.10.2 eq telnet host 10.10.10.1
permit ip any any
flow record type performance-monitor NET-FLOW
match ipv4 tos
match ipv4 protocol
match ipv4 source address
match ipv4 destination address
match transport source-port
match transport destination-port
match interface output
match flow direction
match flow sampler
match application name
collect routing source as
collect routing destination as
collect routing next-hop address ipv4
collect ipv4 source mask
collect ipv4 destination mask
collect transport tcp flags
collect interface input
collect counter bytes
collect counter packets
collect timestamp sys-uptime first
collect timestamp sys-uptime last
!
!
flow exporter NET-FLOW
description NET-FLOW
destination 20.20.20.2
source Loopback28
transport udp 2055
!
!
flow monitor type performance-monitor NET-FLOW
record NET-FLOW
exporter NET-FLOW
class-map match-any class-filter
match access-group name acl-filter
!
policy-map type performance-monitor policy-filter
class class-filter
flow monitor NET-FLOW
interface Loopback28
ip address 10.11.11.28 255.255.255.255
interface GigabitEthernet0/0/1
ip address 10.10.10.2 255.255.255.0
negotiation auto
service-policy type performance-monitor input policy-filter
Verificar
Use esta seção para confirmar se a sua configuração funciona corretamente.
Como confirmar se as redes foram filtradas ao enviá-las ao NetFlow Collector?
Para provar que você pode usar o Embedded Packet Capture (EPC) no ISR4351 Gi0/0/0 (interface apontada para o coletor NetFlow). Está aqui a configuração:
ip access-list extended CAP-FILTER
permit ip host 10.11.11.28 host 20.20.20.2
permit ip host 20.20.20.2 host 10.11.11.28
monitor capture CAP access-list CAP-FILTER buffer size 10 interface GigabitEthernet 0/0/0 both
monitor capture CAP start
++ TEST I
3650: -
telnet 10.10.10.2
Trying 10.10.10.2 ... Open
Nenhum pacote foi capturado para tráfego Telnet em EPC, o motivo foi que o tráfego foi negado na Access Control List (ACL) (ACL-filter) e o restante foi permitido.
show monitor capture CAP buffer brief
-------------------------------------------------------------
# size timestamp source destination protocol
-------------------------------------------------------------
Agora no Teste 02, gere o tráfego de ping para ver se ele é correspondido em EPC:
++ TEST II
3650: -
ping 10.10.10.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.10.10.2, timeout is 2 seconds:
!!!!!
ISR4351:
show monitor capture CAP buffer brief
-------------------------------------------------------------
# size timestamp source destination protocol
-------------------------------------------------------------
0 122 0.000000 10.11.11.28 -> 20.20.20.2 UDP
1 70 0.001998 20.20.20.2 -> 10.11.11.28 ICMP
Troubleshoot
Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.
Feedback