Saludos amigos, esta entrada tenía muchas ganas de publicarla desde hace tiempo. Menciono primero a mi buen amigo Leo, el cual publicó hace unas semanas un post acerca de cómo configurar NetFlow con vSphere Client.

Hoy quiero comentar aquí el paso a paso, para configurar NetFlow con vSphere Web Client, así cómo mostraros un ejemplo real de un Collector de NetFlow mostrando el tráfico de mis vDS de mi laboratorio.

¿Qué es NetFlow?

NetFlow es un protocolo de red que fué desarrollado por Cisco, con él podemos recoger información muy detallada del tráfico IP.

NetFlow es a día de hoy un estándar en casi cualquier elemento de red, y ya no solo lo utiliza Cisco; VMware, Sonicwall, Citrix, Linux y muchas mas marcas han optado por incluir NetFlow cómo elemento para monitorizar el tráfico IP.

Los dispositivos donde activamos NetFlow generan unas trazas o registros de netflow, que contienen pequeños pedazos de información que se envían a un Collector de NetFlow, este Collector, procesa la información y almacena, y normalmente nos la muestra de manera legible para los humanos; gráficas, tartas de datos, etc.

Hay que mencionar que en ningún momento se recolectan los datos completos, sólo pequeñas trazas suficientes para mostrar y auditar la información necesaria.

 

Habilitando NetFlow en nuestros vDS

NetFlow solamente está disponible para vSphere Distributed Switches (vDS), con lo que tendremos que tener una licencia Enterprise Plus para usarlos. Dicho esto y teniendo la demo de Trial de VMware, podemos probarlo y ver si encaja en sustituir o complementar a nuestra Infraestructura de Red convencional. Lo primero que tendremos que hacer es irnos hasta nuestro vSphere Web Client > click en vCenter y hacer click para expandir los elementos.

Nos desplazaremos hasta la sección de Networking.

Seleccionaremos el dvSwitch en el que queremos activar NetFlow, y pulsaremos botón derecho.

Seleccionaremos la opción Manage Distributed Port Groups.

De todas las opciones que tenemos, seleccionaremos la que nos indica Monitoring, que incluye la leyenda Controls NetFlow Configuration.

Seleccionaremos el o los dvPortGroup que queramos que NetFlow quede activado.

Seleccionaremos Enable para activar NetFlow.

Y, ya casí estamos, nos iremos hasta Manage > Settings > NetFlow > Edit, para editar la configuración de NetFlow para este dvSwitch.

Aquí nos solicita varios datos:

• IP address: La IP del Collector de NetFlow (En mi caso un PRTG con licencia gratuita de 10 sondas)
• Port: El puerto por el que el Collector está escuchando
• Switch IP address: Hay que definir una IP de gestión a este dvSwitch para que el Collector sepa desde donde viene el tráfico, si puede ser un rango interno que tengamos para MGM o gestión, mejor.

Una vez hemos seguido estos pasos, ya tenemos configurado todo en la parte de VMware, repetir estos pasos tantas veces como dvSwitch queramos monitorizar.

Configuración de PRTG Network Monitor

Estos pasos previos, no serían nada si no os enseño cómo configurar nuestro PRTG, o cualquier otra herramienta de monitorización que soporte NetFlow. Yo trabajo con el entorno web de PRTG Network Monitor. Podemos ver que la interfaz es muy sencilla y clara.

Nos iremos a Sensores > Añadir sensor

Seleccionaremos Generar un aparato nuevo, para crear nuestro aparato (la IP del vDS que creamos antes, una por cada vDS)

Seleccionaremos el Grupo que viene por defecto, aunque podríamos también crear uno, como queramos.

A la hora de crear el aparato, recomiendo poner nombres descriptivos, para localizar rápido los elementos cuando tengamos miles de aparatos.

Una vez hemos creado el aparato, pulsaremos sobre Añadir Sensor

En el tipo de Sensor, seleccionaremos NetFlow, sFlow, jFlow. Yo he usado IPFIX, después de tener problemas con NetFlow V9 qué es lo que debería ser. Probar con NetFlow V9, y si no funciona probar con IPFIX.

A la hora de configurar el Sensor son importantes varias cosas, ponerle un nombre descriptivo también, indicar correctamente el puerto por el que escuchará, recordemos el que antes definimos el vDS, y el timeout, yo he puesto 15 (cuidado que la imagen aparece 45, dejarlo en 15 mejor), si ponemos menos, podemos perder datos y no tener con exactitud los datos.

Lo dejamos reposar unos 30 minutos y al volver, ¡tachán! Ya tenemos nuestros sensores recogiendo información detallada y granular de nuestro entorno

Si pinchamos en la tarta de Interlocutores principales, veremos quienes son las IP y Hostname con más tráfico y más accedidas.

Si elegimos la tarta de Protocolos Principales, veremos cual es el protocolo que está consumiendo toda nuestra red.

Y por último en cada página, abajo, tendremos un detallado informe que podemos incluso exportar a CSV para operar con él.

O incluso ver en gráfica el consumo de nuestro vDS, muy útil para detectar problemas en la red.

Nada más amigos, espero que esta entrada de NetFlow os haya parecido muy útil y si en vuestra Infraestructura o de vuestro cliente estáis pensando en implementarlo, o necesitáis monitorización avanzada, etc.

Un saludo y gracias por la lectura