Risoluzione dei problemi di acquisizione della telemetria NetFlow/IPFIX in Secure Network Analytics

Introduzione

Questo documento descrive come risolvere i problemi relativi all'acquisizione di telemetria Netflow in Secure Network Analytics (SNA).

Prerequisiti

• Conoscenza SNA Cisco
• Conoscenze NetFlow/IPFIX

Requisiti

• Secure Network Analytics versione 7.5.0 o successive
• Flow Collector in 7.5.0 o versioni successive
• Accesso CLI come sysadmin a Flow Collector
• Accesso all'interfaccia utente dell'amministratore come amministratore di Flow Collector

Guide alla configurazione

• Configurazione di NetFlow/IPFIX per l'acquisizione della telemetria su analisi di rete sicure

Componenti usati

• SNA Manager e Flow Collector su 7.5.0
• Software Wireshark

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Flow Collector è un'appliance SNA incaricata di raccogliere, elaborare e archiviare i flussi che vengono inviati a Secure Network Analytics. Per NetFlow versione 9 o IPFIX, è possibile includere diversi campi nel modello NetFlow/IPFIX per aggiungere ulteriori informazioni relative al traffico di rete. Tuttavia, sono disponibili 9 campi specifici che devono essere inclusi nel modello NetFlow/IPFIX affinché il Flow Collector possa elaborare tali flussi. Flow Collector non elabora i flussi in ingresso che includono un modello non valido, pertanto SNA non visualizza le informazioni sul flusso di tali esportatori sotto interfaccia utente Web o client desktop.

Campi obbligatori

I campi successivi devono essere inclusi nel modello NetFlow/IPFIX per il caricamento della telemetria. Verificare che questi 9 campi siano inclusi nel modello NetFlow/IPFIX per consentire a Secure Network Analytics di elaborare i flussi in ingresso.

• Source IP Address
• Indirizzo IP di destinazione
• Porta di origine
• Porta di destinazione
• Protocollo di livello 3
• Conteggio byte
• Conteggio pacchetti
• Ora inizio flusso
• Ora fine flusso

Nota: è possibile includere più campi nella configurazione NetFlow/IPFIX, tuttavia i campi precedenti rappresentano i requisiti minimi di Secure Network Analytics per il caricamento della telemetria.

Risoluzione dei problemi del processo

Verifica dell'inserimento della telemetria NetFlow/IPFIX

Per verificare se SNA Flow Collector riceve e inserisce la telemetria NetFlow/IPFIX dagli esportatori:

1. Accedere all'interfaccia utente Admin di SNA Flow Collector con le credenziali admin: https://<Indirizzo IP di Flow Collector>/swa/login.html
2. Nel pannello sinistro, selezionare Supporto > Sfoglia file
3. Passare alla cartella successiva: sw > oggi > log
4. Fare clic sul file sw.log per scaricarlo sul computer locale e aprirlo in un editor di testo.
5. Cercare queste righe nella parte inferiore del registro. Il riepilogo viene creato ogni cinque minuti:

18:45:00 I-sch-t: process_5_min_period: begin
18:45:00 I-sch-t: process_5_min_period: periods(177)
18:45:00 S-per-t: Performance Period 177
18:45:00 S-per-t: 	Engine status Status normal
18:45:00 S-per-t: 	Processed 6948 flows at 24 fps this period
18:45:00 S-per-t: 	Processed 4226 biflows at 15 fps this period
18:45:00 S-per-t: 	Dropped 0 flows this period
18:45:00 S-per-t: 	Discarded 4358 flows this period due to insufficient template data
18:45:00 S-per-t: 	Processed 1838743 flows at 35 fps today
18:45:00 S-per-t: 	Dropped 0 flows today
18:45:00 S-per-t: 	Discarded 11069 flows today due to insufficient template data
18:45:00 S-per-t: 	Process instance 0 processed 3372 flows at 12 fps this period
18:45:00 S-per-t: 	Process instance 0 processed 2066 biflows at 7 fps this period
18:45:00 S-per-t: 	Process instance 1 processed 3576 flows at 12 fps this period
18:45:00 S-per-t: 	Process instance 1 processed 2160 biflows at 8 fps this period
18:45:00 S-per-t: 	Inserted 2048 flow stats at 7 fps this period
18:45:00 S-per-t: 	Inserted 2013 interface stats at 7 fps this period
18:45:00 S-per-t: 	Inserted 470932 flow stats at 9 fps today
18:45:00 S-per-t: 	Inserted 678994 interface stats at 13 fps today

Nota: la linea 8 indica che sono presenti flussi scartati a causa di dati del modello insufficienti nell'ultimo periodo.

Verifica modello NetFlow/IPFIX

Per confermare i campi inclusi nel modello NetFlow/IPFIX:

1. Accedere alla CLI di SNA Flow Collector con le credenziali sysadmin.

2. Nel menu SystemConfig, passare a: Advanced > Packet Capture

3. Inserire le informazioni dell'esportatore che non mostra i flussi sulla SNA:

4. Attendere il completamento del processo.

5. Per scaricare il file, accedere all'interfaccia utente Admin di SNA Flow Collector con le credenziali admin: https://<Indirizzo IP di Flow Collector>/swa/login.html

6. Nel pannello sinistro, selezionare Support > Browse Files

7. Passare alla cartella successiva: tcpdump

8. Fare clic sul file di acquisizione dei pacchetti per scaricarlo sul computer locale e aprirlo su Wireshark:

9. Identificare il frame in cui è stato ricevuto il modello NetFlow/IPFIX.

10. Verificare che i 9 campi obbligatori siano presenti nel modello

Nota: si noti che nel modello sono presenti solo 8 dei 9 campi obbligatori richiesti da SNA per il caricamento della telemetria. In questo scenario manca il campo BYTE.

Verificare l'inserimento della telemetria NetFlow/IPFIX dopo aver aggiunto i campi mancanti

Per confermare se SNA Flow Collector riceve e inserisce la telemetria NetFlow/IPFIX dall'esportatore dopo la modifica:

1. Accedere all'interfaccia utente Admin di SNA Flow Collector con le credenziali admin: https://<Indirizzo IP di Flow Collector>/swa/login.html
2. Nel pannello sinistro, selezionare Supporto > Sfoglia file
3. Passare alla cartella successiva: sw > oggi > log
4. Fare clic sul file sw.log per scaricarlo sul computer locale e aprirlo in un editor di testo.
5. Cerca queste righe nella parte inferiore del registro

19:20:00 I-sch-t: process_5_min_period: begin
19:20:00 I-sch-t: process_5_min_period: periods(184)
19:20:00 S-per-t: Performance Period 184
19:20:00 S-per-t: 	Engine status Status normal
19:20:00 S-per-t: 	Processed 10992 flows at 37 fps this period
19:20:00 S-per-t: 	Processed 4176 biflows at 14 fps this period
19:20:00 S-per-t: 	Dropped 0 flows this period
19:20:00 S-per-t: 	Discarded 0 flows this period due to insufficient template data
19:20:00 S-per-t: 	Processed 1896017 flows at 35 fps today
19:20:00 S-per-t: 	Dropped 0 flows today
19:20:00 S-per-t: 	Discarded 36041 flows today due to insufficient template data
19:20:00 S-per-t: 	Process instance 0 processed 5575 flows at 19 fps this period
19:20:00 S-per-t: 	Process instance 0 processed 2195 biflows at 8 fps this period
19:20:00 S-per-t: 	Process instance 1 processed 5417 flows at 19 fps this period
19:20:00 S-per-t: 	Process instance 1 processed 1981 biflows at 7 fps this period
19:20:00 S-per-t: 	Inserted 2878 flow stats at 10 fps this period
19:20:00 S-per-t: 	Inserted 4510 interface stats at 16 fps this period
19:20:00 S-per-t: 	Inserted 486734 flow stats at 9 fps today
19:20:00 S-per-t: 	Inserted 696260 interface stats at 13 fps today

Nota: la linea 8 indica che non vi sono flussi scartati nell'ultimo periodo.

Verifica della porta di acquisizione della telemetria NetFlow/IPFIX

Per verificare se SNA Flow Collector riceve la telemetria NetFlow/IPFIX dagli esportatori sulla porta corretta:

1. Accedere all'interfaccia utente Web SNA con un utente con autorizzazioni di amministratore.

2. Nel menu superiore, passare a Configura e scegliere Raccoglitori flusso

3. Confermare che SNA Flow Collector utilizzi la stessa porta configurata dagli esportatori per inviare il comando NetFlow/IPFIX

Nota: la porta predefinita per NetFlow è 2055. Tuttavia, è possibile selezionare un'altra porta. Accertarsi di utilizzare la stessa porta durante il primo processo di configurazione sul Flow Collector(s).

Verificare che l'opzione NetFlow per l'inserimento della telemetria NetFlow sia abilitata

Per verificare se l'opzione SNA Flow Collector per la trasmissione telemetrica di NetFlow/IPFIX è abilitata:

1. Accedere all'interfaccia utente di amministrazione di SNA Flow Collector con le credenziali di amministratore: https://<Indirizzo IP di Flow Collector>/swa/login.html
2. Nel pannello sinistro, selezionare Supporto > Impostazioni avanzate
3. Confermare che l'opzione enable_netflow sia impostata su 1:

Informazioni correlate

• Per ulteriore assistenza, contattare il Technical Assistance Center (TAC). È necessario un contratto di supporto valido: Contatti del supporto Cisco internazionali.
• In questa sezione è possibile anche visitare la Cisco Security Analytics Community.
• Documentazione e supporto tecnico – Cisco Systems