Flexible NetFlow コンフィギュレーション ガイド Cisco IOS Release 15.1S

分析に使用するトラフィックの識別基準

事前定義済みの Flexible NetFlow レコードが実際のトラフィック要件に適合しない場合は、Flexible NetFlow の collect および match コマンドを使用して、ユーザ定義（カスタム）レコードを作成できます。カスタム レコードを作成するには、その前に key および nonkey フィールドに使用する基準を決定する必要があります。

ネットワーク攻撃検出用のカスタム レコードを作成する場合は、適切な key および nonkey フィールドをレコードに含めることで、ルータが攻撃の分析と対処に必要なフローを作成し、データをキャプチャする必要があります。たとえば、SYN フラッド攻撃はよくある DoS（サービス拒絶）攻撃で、宛先ホストへの TCP 要求のフラッディング開始に TCP フラグが使用されます。通常の TCP 接続が開始されると、宛先ホストは SYN（同期/開始）パケットを送信元ホストから受信し、SYN ACK（同期確認応答）を返送します。その後、宛先ホストは SYN ACK に対する ACK（確認応答）を受け取ってから、接続を確立する必要があります。これは、「TCP 3 ウェイ ハンドシェイク」と呼ばれます。宛先ホストは SYN ACK に対する ACK を待つ間、宛先ホスト上の有限サイズの接続キューが接続を監視し、接続完了を待ちます。通常、ACK は SYN ACK から数ミリ秒後に到着するため、このキューはすぐに空になります。TCP SYN 攻撃ではこの設計を悪用し、攻撃側の送信元ホストがランダムな送信元アドレスを持つ TCP SYN パケットを発生して、攻撃を受けるホストに送信します。攻撃を受けた宛先ホストは、ランダムな送信元アドレスに SYN ACK を返送し、接続キューにエントリを追加します。この SYN ACK の宛先は不正または存在しないホストであるため、TCP 3 ウェイ ハンドシェイクの最後の部分が完了することはなく、接続キューのエントリは、通常は 1 分間程度のタイマーが期限切れとなるまで残ります。送信元ホストが、ランダムな IP アドレスからの偽の TCP SYN パケットを急速に大量発生することで、接続キューがいっぱいになり、正規ユーザに対する TCP サービス（電子メール、ファイル転送、WWW など）が拒絶されることがあります。

この種の DoS 攻撃に対するセキュリティ監視レコードに必要な情報には、次の key および nonkey フィールドが含まれます。

• key フィールド：

– 宛先 IP アドレスまたは宛先 IP サブネット

– TCP フラグ

– パケット数

• nonkey フィールド

– 宛先 IP アドレス

– 送信元 IP アドレス

– インターフェイスの入力および出力

ヒント 多くのユーザは、DoS 攻撃の詳細な Flexible NetFlow 表示がトリガーされるよう、これらの key および nonkey フィールドを使用して、一般的な Flexible NetFlow モニタを設定しています。

カスタム フロー レコードの設定

カスタム フロー レコードは、特定の目的でトラフィック データを分析するために使用されます。カスタム フロー レコードには、key フィールドとして使用する最低 1 つの match 基準が必要で、通常は nonkey フィールドとして使用する最低 1 つの collect 基準が必要です。

カスタム フロー レコードには、数百の順列と組み合せが存在します。このタスクでは、可能な順列と組み合せの 1 つを作成するための手順を示します。このタスクの手順を必要に応じて変更すると、実際の要件に合ったカスタム フロー レコードを作成できます。

カスタム フロー レコードを作成するには、次のタスクを実行します。

• IPv4 または IPv6 トラフィック用のカスタム フロー レコードの設定

IPv4 または IPv6 トラフィック用のカスタム フロー レコードの設定

このタスクでは、IPv4 または IPv6 トラフィック用のカスタム フロー レコードの作成に使用する手順を示します。これは、IPv4 または IPv6 トラフィックから特定のデータを収集するために使用されます。

手順の概要

1. enable

2. configure terminal

3. flow record record-name

4. description descrription

5. match { ipv4 | ipv6 } { destination | source } { address | { mask | prefix } [ minimum-mask mask ]}

6. 必要に応じてステップ 5 を繰り返し、レコードのその他の key フィールドを設定します。

7. collect { ipv4 | ipv6 } source { address | { mask | prefix } [ minimum-mask mask ]}

8. 必要に応じてステップ 7 を繰り返し、レコードのその他の nonkey フィールドを設定します。

9. end

手順の詳細

フロー レコードの現在のステータスの表示

フロー レコードの現在のステータスを表示するには、次の任意タスクを実行します。

手順の概要

1. enable

2. show flow record

手順の詳細

ステップ 1 enable

enable コマンドによって、特権 EXEC モードを開始します（プロンプトが表示されたらパスワードを入力します）。

ステップ 2 show flow record

show flow record コマンドでは、指定したフロー モニタの現在のステータスが表示されます。

フロー レコードの設定確認

入力したコンフィギュレーション コマンドを確認するには、次の任意タスクを実行します。

手順の概要

1. enable

2. show running-config flow record

手順の詳細

ステップ 1 enable

enable コマンドによって、特権 EXEC モードを開始します（プロンプトが表示されたらパスワードを入力します）。

ステップ 2 show running-config flow record

show running-config flow record コマンドでは、指定したフロー モニタのコンフィギュレーション コマンドが表示されます。

カスタム フロー モニタの作成

カスタム フロー モニタを作成するには、次の必須タスクを実行します。

フロー モニタ

各フロー モニタは、それに関連付けられた個別のキャッシュを持っています。各フロー モニタには、キャッシュ エントリの内容とレイアウトを定義するためのレコードが必要です。このレコード形式は、事前定義済みの形式の 1 つにすることも、高度なユーザが flow record コマンドを使用してカスタム形式を作成することもできます。このタスクでは、「カスタム フロー レコードの設定」で作成したレコードを使用します。

前提条件

Flexible NetFlow の定義済みレコードではなく、カスタム レコードを使用する場合は、このタスクを実行する前にカスタム レコードを作成しておく必要があります。カスタム フロー レコードについて、およびその作成方法については、「カスタム フロー レコードの設定」を参照してください。

データのエクスポートのため、フロー モニタにフロー エクスポータを追加する場合は、このタスクを終了する前にエクスポータを作成しておく必要があります。フロー エクスポータについて、およびその作成方法については、 「Configuring Data Export for Cisco IOS Flexible NetFlow with Flow Exporters」 モジュールを参照してください。

制約事項

フロー モニタで record コマンドのパラメータを変更するには、その前に no ip flow monitor コマンドを使用して、適用されたすべてのインターフェイスからフロー モニタを削除しておく必要があります。 ip flow monitor コマンドの詳細については、『 Cisco IOS Flexible NetFlow Command Reference 』を参照してください。

手順の概要

1. enable

2. configure terminal

3. flow monitor monitor-name

4. description string

5. record { record-name | netflow-original | netflow { ipv4 | ipv6 } record [ peer ]}

6. cache { entries number | timeout { active seconds | inactive seconds | update seconds } | type { immediate | normal | permanent }}

7. 必要に応じてステップ 6 を繰り返し、このフロー モニタのキャッシュ パラメータの変更を終了します。

8. statistics packet protocol

9. statistics packet size

10. exporter exporter-name

11. end

手順の詳細

フロー モニタの現在のステータスの表示

フロー モニタの現在のステータスを表示するには、次の任意タスクを実行します。

手順の概要

1. enable

2. show flow monitor monitor-name

手順の詳細

ステップ 1 enable

enable コマンドによって、特権 EXEC モードを開始します（プロンプトが表示されたらパスワードを入力します）。

ステップ 2 show flow monitor monitor-name

show flow monitor コマンドでは、指定したフロー モニタの現在のステータスが表示されます。

フロー モニタの設定確認

入力したコンフィギュレーション コマンドを確認するには、次の任意タスクを実行します。

手順の概要

1. enable

2. show running-config flow monitor monitor-name

手順の詳細

ステップ 1 enable

enable コマンドによって、特権 EXEC モードを開始します（プロンプトが表示されたらパスワードを入力します）。

ステップ 2 show running-config flow monitor

show running-config flow monitor コマンドでは、指定したフロー モニタのコンフィギュレーション コマンドが表示されます。

インターフェイスへのフロー モニタの適用

アクティブにする前に、フロー モニタを最低 1 つのインターフェイスに適用する必要があります。フロー モニタをアクティブにするには、次の必須タスクを実行します。

制約事項

事前定義済みレコード「NetFlow original」、または「NetFlow IPv4 original input」あるいは「NetFlow IPv6 original input」をフロー モニタに指定して、以前の NetFlow をエミュレートする場合は、Flexible NetFlow フロー モニタを入力（受信）トラフィックの分析だけに使用できます。

事前定義済みレコード「NetFlow IPv4 original output」または「NetFlow IPv6 original output」をフロー モニタに指定して、出力 NetFlow アカウンティング機能をエミュレートする場合は、Flexible NetFlow フロー モニタを出力（発信）トラフィックの分析だけに使用できます。

手順の概要

1. enable

2. configure terminal

3. interface type number

4. { ip | ipv6 } flow monitor monitor-name { input | output }

5. ステップ 3 と 4 を繰り返し、トラフィックを監視するルータの他のすべてのインターフェイスでフロー モニタをアクティブにします。

6. end

手順の詳細

インターフェイスで Flexible NetFlow がイネーブル化されていることの確認

インターフェイスで Flexible NetFlow がイネーブルになっていることを確認するには、次の任意タスクを実行します。

手順の概要

1. enable

2. show flow interface [ type number ]

手順の詳細

ステップ 1 enable

enable コマンドによって、特権 EXEC モードを開始します（プロンプトが表示されたらパスワードを入力します）。

ステップ 2 show flow interface

show flow interface コマンドによって、インターフェイスで Flexible NetFlow がイネーブルになっていることが確認されます。

フロー モニタ キャッシュ内のデータの表示

フロー モニタ キャッシュ内のデータを表示するには、次の任意タスクを実行します。

前提条件

フロー モニタ キャッシュ内のフローを表示するためには、NetFlow original レコードで定義された基準に適合するトラフィックを受信するインターフェイスに、入力フロー モニタを適用する必要があります。

手順の概要

1. enable

2. show flow monitor name monitor-name cache format record

手順の詳細

ステップ 1 enable

enable コマンドによって、特権 EXEC モードを開始します（プロンプトが表示されたらパスワードを入力します）。

ステップ 2 show flow monitor name monitor-name cache format record

show flow monitor name monitor-name cache format record コマンド ストリングでは、フロー モニタのキャッシュ内にあるステータス、統計情報、およびフロー データが表示されます。

可能なフローの数が制限された永久フロー レコード キャッシュの設定：例

次の例は、ルータのすべてのインターフェイスでの、タイプ オブ サービス（ToS）フィールド使用状況を監視するよう設計されています。この例は、 show flow monitor コマンドを使用してルータ上の追加データをキャプチャし、分析に使用することを目的としているため、エクスポータは設定されません。

このサンプルは、グローバル コンフィギュレーション モードから開始します。

show flow monitor コマンドの出力には、キャッシュの現在のステータスが表示されます。

IPv6 トラフィック監視用のカスタム フロー レコード設定：例

次の例では、IPv6 トラフィック監視用のカスタム フロー レコード キャッシュを作成します。

このサンプルは、グローバル コンフィギュレーション モードから開始します。

MAC および VLAN 統計情報監視用の Flexible NetFlow の設定：例

次の例は、MAC および VLAN 統計情報監視用に Flexible NetFlow を設定する方法を示しています。

このサンプルは、グローバル コンフィギュレーション モードから開始します。

入力 VRF サポートのための Flexible NetFlow の設定：例

次の例では、Virtual Route Forwarding（VRF） ID を key フィールドとして収集するフロー レコードを持つ入力フロー モニタを適用することで、ルータの着信パケットからの VRF ID の収集を設定します。

このサンプルは、グローバル コンフィギュレーション モードから開始します。

ネットワーク ベースのアプリケーション認識のための Flexible NetFlow の設定：例

次の例では、アプリケーション名を key フィールドとして収集するフロー レコードを持つフロー モニタを適用することで、任意の 2 台の IP ホスト間で見られるアプリケーションごとに異なるフローを作成するために、Network Based Application Recognition（NBAR）を使用します。

このサンプルは、グローバル コンフィギュレーション モードから開始します。

関連資料

規格

MIB

RFC

シスコのテクニカル サポート

Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)

このマニュアルで使用している IP アドレスは、実際のアドレスを示すものではありません。マニュアル内の例、コマンド出力、および図は、説明のみを目的として使用されています。説明の中に実際のアドレスが使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

© 2006-2010 Cisco Systems, Inc.
All rights reserved.

Copyright © 2006-2011, シスコシステムズ合同会社.
All rights reserved.