如何防止NetFlow Export 風暴?
在測量NetFlow 流量時，我們通常說每秒/數千個流量。該數據通過UDP從網路基礎結構導出到NetFlow收集器。這導致巨大的資料流量，其數量與NetFlow監控設備觀察到的唯一流量的量成比例。收集所有這些資料而不遺失封包可能是一個真正的挑戰，但通過一些基本的調整和高性能工具如Scrutinizer，可以實現完美的流量收集。
何時匯出NetFlow數據？
流量資料保存在流量暫存中，而對話仍然被處理流量的網路設備視為活動的。通常，您可能會發現自己將行輸入流量設定，例如“cache timeout active 60”或“cache timeout inactive 15”。這些命令用於定義如何確定流完整併準備匯出到Scrutinizer。如果連接始終處於活動狀態，則“活動超時”值將在指定的時間量後結束流量並開始新記錄，指示在匯出流量的最後一個封包之後多長時間開始“非活動值”設置計時器。這種類型的暫存適用於NetFlow 收集，因為它擴展了NetFlow的匯出。
流量資料的性能監視可能需要您設定週期暫存。在此設定中，無論任何單個流量的間格時間如何都會定期匯出所有流量資料。雖然在性能監視中收集某些數值是必需的，但這種類型的流量暫存可能很危險，因為它會立即轉儲存為完全流量暫存。這可能會導致大量Flow或IPFIX資料風暴（Storm）通過您的網路流向您的netflow收集器。可以通過設定“Spread”間隔來控制此行為。Spread間隔管控每幾秒的時間匯出暫存流量，從而減少預設行為的突發。在一個實例中，我們在現場觀察到具有數百個相同配置的設備的環境，所有設備都同步匯出而未配置傳播間隔。沒有收集大量的流量資料，因為它無法通過網路。請記住，NetFlow / IPFIX是UDP，因此當丟棄該封包時，來源不知道要重新傳輸。
如何防止NetFlow Export 風暴？
可以在效能監視器設定中開啟匯出Spread在套用在監視器的介面之前或直接透過Service Policy。
Conf t
Flow monitor type performance-monitor [name of monitor]
Cache type synchronized
Cache timeout synchronized [seconds until synchronized export] export-spread [amount of time in seconds to spread flows over]
End在基本設定中，使用60秒作為同步匯出和15秒作為匯出Spread是安全的。這仍然會每分鐘終止流量和維持與Scrutinizer’s Atomic Flow估算在一分鐘的間隔，同時以15秒的間隔傳輸流量資料以防止流量風暴。有關詳細訊息，您可以參考此主題的思科檔案。
Scrutinizer 能消化每秒數百萬的流量在大型群簇環境設定中，並且採用匯出spreading等策略對於維護收集這些資料量所需的網路性能至關重要。如果您對Scrutinizer實例中的MFSN值有疑問或正在透過NetFlow部署，請聯繫我們Plixer支援團隊 (易璽科技 )。Plixer與世界各地的團隊合作，幫助在大容量環境中利用Netflow資料。
Scrutinizer 提供永久免費版本，若有興趣想要了解完整的功能，歡迎在此申請下載。
2018 年 8 月 1 日 – Ipswitch 為安全檔案傳輸及網路管理軟體的領導廠商，產品簡單易用，更屢獲殊榮。該公司今天參與台灣iThome 資訊安全焦點論壇，在會上展示其檔案傳輸產品MOVEit 2018版本。
