fbpx

如何防止NetFlow Export 風暴?

在測量NetFlow 流量時,我們通常說每秒/數千個流量。該數據通過UDP從網路基礎結構導出到NetFlow收集器。這導致巨大的資料流量,其數量與NetFlow監控設備觀察到的唯一流量的量成比例。收集所有這些資料而不遺失封包可能是一個真正的挑戰,但通過一些基本的調整和高性能工具如Scrutinizer,可以實現完美的流量收集。

何時匯出NetFlow數據?

流量資料保存在流量暫存中,而對話仍然被處理流量的網路設備視為活動的。通常,您可能會發現自己將行輸入流量設定,例如“cache timeout active 60”或“cache timeout inactive 15”。這些命令用於定義如何確定流完整併準備匯出到Scrutinizer。如果連接始終處於活動狀態,則“活動超時”值將在指定的時間量後結束流量並開始新記錄,指示在匯出流量的最後一個封包之後多長時間開始“非活動值”設置計時器。這種類型的暫存適用於NetFlow 收集,因為它擴展了NetFlow的匯出。

流量資料的性能監視可能需要您設定週期暫存。在此設定中,無論任何單個流量的間格時間如何都會定期匯出所有流量資料。雖然在性能監視中收集某些數值是必需的,但這種類型的流量暫存可能很危險,因為它會立即轉儲存為完全流量暫存。這可能會導致大量Flow或IPFIX資料風暴(Storm)通過您的網路流向您的netflow收集器。可以通過設定“Spread”間隔來控制此行為。Spread間隔管控每幾秒的時間匯出暫存流量,從而減少預設行為的突發。在一個實例中,我們在現場觀察到具有數百個相同配置的設備的環境,所有設備都同步匯出而未配置傳播間隔。沒有收集大量的流量資料,因為它無法通過網路。請記住,NetFlow / IPFIX是UDP,因此當丟棄該封包時,來源不知道要重新傳輸。

如何防止NetFlow Export 風暴?

可以在效能監視器設定中開啟匯出Spread在套用在監視器的介面之前或直接透過Service Policy。

Conf t
Flow monitor type performance-monitor [name of monitor]
Cache type synchronized
Cache timeout synchronized [seconds until synchronized export] export-spread [amount of time in seconds to spread flows over]
End

在基本設定中,使用60秒作為同步匯出和15秒作為匯出Spread是安全的。這仍然會每分鐘終止流量和維持與Scrutinizer’s Atomic Flow估算在一分鐘的間隔,同時以15秒的間隔傳輸流量資料以防止流量風暴。有關詳細訊息,您可以參考此主題的思科檔案。

Scrutinizer 能消化每秒數百萬的流量在大型群簇環境設定中,並且採用匯出spreading等策略對於維護收集這些資料量所需的網路性能至關重要。如果您對Scrutinizer實例中的MFSN值有疑問或正在透過NetFlow部署,請聯繫我們Plixer支援團隊 (易璽科技 )。Plixer與世界各地的團隊合作,幫助在大容量環境中利用Netflow資料。

Scrutinizer 提供永久免費版本,若有興趣想要了解完整的功能,歡迎在此申請下載