Cisco TrustSec フィールドの Flexible NetFlow エクスポート

Cisco TrustSec フィールドの Flexible NetFlow エクスポートでは、Flexible Netflow（FNF）フロー レコード内の Cisco TrustSec フィールドをサポートし、Cisco TrustSec 導入の標準から外れた動作のモニタ、トラブルシューティング、および特定を支援します。

このモジュールでは、Cisco TrustSec と FNF のインタラクションについてと、NetFlow バージョン 9 フロー レコードの Cisco TrustSec フィールドを設定しエクスポートする方法を説明します。

Cisco TrustSec フィールドの Flexible NetFlow エクスポートの制約事項

  • Flexible Netflow（FNF）レコードでエクスポートされるセキュリティ グループ タグ（SGT）値は、次のシナリオではゼロになります。

    • パケットは、信頼されたインターフェイスから、ゼロの SGT 値とともに受信します。

    • パケットは SGT なしで受信します。

    • IP-SGT ルックアップ中に SGT が検出されません。

Cisco TrustSec フィールドの Flexible NetFlow エクスポートに関する情報

Flexible NetFlow の Cisco TrustSec フィールド

Flexible Netflow（FNF）フローレコード内の Cisco TrustSec フィールド、送信元セキュリティグループタグ（SGT）および宛先セキュリティグループタグ（DGT）は、管理者によるフローとアイデンティティ情報の関連付けに役立ちます。ネットワーク エンジニアは、これにより、顧客のネットワーク リソースおよびアプリケーション リソースの利用について詳しく理解できます。この情報を使用して、潜在的なセキュリティやポリシーの違反を検出して解決するために、アクセスおよびアプリケーション リソースを効率的に計画して割り当てることができます。

Cisco TrustSec フィールドは入力/出力 FNF、ユニキャスト/マルチキャスト トラフィックでサポートされています。

次のテーブルに、Cisco TrustSec 用の NetFlow V9 の企業固有フィールド タイプを示します。これは、Cisco TrustSec の送信元/宛先ソース グループ タグの FNF テンプレートで使用されます。

ID

説明

CTS_SRC_GROUP_TAG

Cisco Trusted Security 送信元グループ タグ

CTS_DST_GROUP_TAG

Cisco Trusted Security 宛先グループ タグ

FNF フロー レコードで既存の一致するフィールドに加えて、Cisco TrustSec フィールドが設定されます。次の設定を使用して、Cisco TrustSec フロー オブジェクトをキー フィールドまたは非キー フィールドとして FNF フロー レコードに追加し、パケット用の送信元と宛先のセキュリティ グループ タグを設定します。

  • match flow cts {source | destination} group-tag コマンドは、キーフィールドとして Cisco TrustSec フィールドを指定するため、フローレコード以下で設定されます。キー フィールドはフローを差別化するものです。各フローのキー フィールドには、一連の一意の値が設定されています。フロー レコードにキー フィールドが含まれていない場合は、フロー モニタで使用することができません。

  • collect flow cts {source | destination} group-tag コマンドは、非キーフィールドとして Cisco TrustSec フィールドを指定するため、フローレコード以下で設定されます。非キー フィールドの値は、フロー内のトラフィックに関する追加情報を提供するためにフローに追加されます。

フロー レコードは、フロー モニタ下で設定され、フロー モニタはインターフェイスに適用されます。FNF データをエクスポートするには、フロー エクスポータを設定し、フロー モニター以下に追加する必要があります。

Cisco TrustSec フィールドの Flexible NetFlow エクスポートの設定方法

フロー レコードのキー フィールドとしての Cisco TrustSec フィールドの設定

手順の概要

  1. enable
  2. configure terminal
  3. flow record record-name
  4. match {ipv4 | ipv6} protocol
  5. match {ipv4 | ipv6} source address
  6. match {ipv4 | ipv6} destination address
  7. match transport source-port
  8. match transport destination-port
  9. match flow direction
  10. match flow cts source group-tag
  11. match flow cts destination group-tag
  12. end

手順の詳細

  コマンドまたはアクション 目的

ステップ 1

enable

例:


Device> enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:


Device# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

flow record record-name

例:


Device(config)# flow record cts-record-ipv4

Flexible Netflow（FNF）フロー レコードを作成するか、または既存の FNF フロー レコードを変更して、Flexible NetFlow フロー レコード コンフィギュレーション モードを開始します。

ステップ 4

match {ipv4 | ipv6} protocol

例:


Device(config-flow-record)# match ipv4 protocol

（オプション）フロー レコードのキー フィールドとして IPv4 プロトコルまたは IPv6 プロトコルを設定します。

ステップ 5

match {ipv4 | ipv6} source address

例:


Device(config-flow-record)# match ipv4 source address

（オプション）IPv4 または IPv6 送信元アドレスをフロー レコードのキー フィールドとして設定します。

ステップ 6

match {ipv4 | ipv6} destination address

例:


Device(config-flow-record)# match ipv4 destination address

（オプション）IPv4 または IPv6 接続先アドレスをフロー レコードのキー フィールドとして設定します。

ステップ 7

match transport source-port

例:


Device(config-flow-record)# match transport source-port

（オプション）フロー レコードのキー フィールドとして、トランスポート送信元ポートを設定します。

ステップ 8

match transport destination-port

例:


Device(config-flow-record)# match transport destination-port

（オプション）フロー レコードのキー フィールドとして、トランスポート宛先ポートを設定します。

ステップ 9

match flow direction

例:


Device(config-flow-record)# match flow direction

（オプション）フローがモニターされる方向をキー フィールドとして設定します。

ステップ 10

match flow cts source group-tag

例:


Device(config-flow-record)# match flow cts source group-tag

FNF フロー レコード内の Cisco TrustSec 送信元セキュリティ グループ タグ（SGT）をキー フィールドとして設定します。

ステップ 11

match flow cts destination group-tag

例:


Device(config-flow-record)# match flow cts destination group-tag

FNF フロー レコード内の Cisco TrustSec 宛先セキュリティ グループ タグ（DGT）をキー フィールドとして設定します。

ステップ 12

end

例:


Device(config-flow-record)# end

Flexible NetFlow フロー レコード コンフィギュレーション モードを終了して、特権 EXEC モードに戻ります。

フロー レコードの非キー フィールドとしての Cisco TrustSec フィールドの設定

手順の概要

  1. enable
  2. configure terminal
  3. flow record record-name
  4. match {ipv4 | ipv6} protocol
  5. match {ipv4 | ipv6} source address
  6. match {ipv4 | ipv6} destination address
  7. match transport source-port
  8. match transport destination-port
  9. collect flow direction
  10. collect flow cts source group-tag
  11. collect flow cts destination group-tag
  12. collect counter packets
  13. end

手順の詳細

  コマンドまたはアクション 目的

ステップ 1

enable

例:


Device> enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:


Device# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

flow record record-name

例:


Device(config)# flow record cts-record-ipv4

Flexible Netflow（FNF）フロー レコードを作成するか、または既存の FNF フロー レコードを変更して、Flexible NetFlow フロー レコード コンフィギュレーション モードを開始します。

ステップ 4

match {ipv4 | ipv6} protocol

例:


Device(config-flow-record)# match ipv4 protocol

（オプション）フロー レコードのキー フィールドとして IPv4 プロトコルまたは IPv6 プロトコルを設定します。

（注）  

 
Cisco CSR100V、ISR 4400、および ASR 1000 プラットフォームでは、Cisco TrustSec フィールドは IPv4 FNF レコードでのみサポートされます。

ステップ 5

match {ipv4 | ipv6} source address

例:


Device(config-flow-record)# match ipv4 source address

（オプション）IPv4 または IPv6 送信元アドレスをフロー レコードのキー フィールドとして設定します。

（注）  

 
Cisco CSR100V、ISR 4400、および ASR 1000 プラットフォームでは、Cisco TrustSec フィールドは IPv4 FNF レコードでのみサポートされます。

ステップ 6

match {ipv4 | ipv6} destination address

例:


Device(config-flow-record)# match ipv4 destination address

（オプション）IPv4 または IPv6 接続先アドレスをフロー レコードのキー フィールドとして設定します。

（注）  

 
Cisco CSR100V、ISR 4400、および ASR 1000 プラットフォームでは、Cisco TrustSec フィールドは IPv4 FNF レコードでのみサポートされます。

ステップ 7

match transport source-port

例:


Device(config-flow-record)# match transport source-port

（オプション）フロー レコードのキー フィールドとして、トランスポート送信元ポートを設定します。

ステップ 8

match transport destination-port

例:


Device(config-flow-record)# match transport destination-port

（オプション）フロー レコードのキー フィールドとして、トランスポート宛先ポートを設定します。

ステップ 9

collect flow direction

例:


Device(config-flow-record)# collect flow direction

（オプション）フロー方向を非キー フィールドとして設定し、フローがモニタされた方向の収集を有効化します。

ステップ 10

collect flow cts source group-tag

例:


Device(config-flow-record)# collect flow cts source group-tag

FNF フロー レコード内の Cisco TrustSec 送信元セキュリティ グループ タグ（SGT）を非キー フィールドとして設定します。

ステップ 11

collect flow cts destination group-tag

例:


Device(config-flow-record)# collect flow cts destination group-tag

FNF フロー レコード内の Cisco TrustSec 宛先セキュリティ グループ タグ（DGT）を非キー フィールドとして設定します。

ステップ 12

collect counter packets

例:


Device(config-flow-record)# collect counter packets

（オプション）フローで確認されるパケット数を非キー フィールドとして設定し、フローから合計パケット数を収集します。

ステップ 13

end

例:


Device(config-flow-record)# end

Flexible NetFlow フロー レコード コンフィギュレーション モードを終了して、特権 EXEC モードに戻ります。

フロー エクスポータの設定

フロー エクスポータごとに、1 つの宛先のみがサポートされます。複数の宛先にデータをエクスポートする場合は、複数のフロー エクスポータを設定してフロー モニターに割り当てる必要があります。

始める前に

フロー レコードを作成していることを確認します。詳細については、「フロー レコードの非キー フィールドとしての Cisco TrustSec フィールドの設定」の項および「フロー レコードの非キー フィールドとしての Cisco TrustSec フィールドの設定」の項を参照してください。

手順の概要

  1. enable
  2. configure terminal
  3. flow exporter exporter-name
  4. destination {ip-address | hostname} [ vrf vrf-name]
  5. end

手順の詳細

  コマンドまたはアクション 目的

ステップ 1

enable

例:


Device> enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:


Device# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

flow exporter exporter-name

例:


Device(config)# flow exporter EXPORTER-1

フロー エクスポータを作成するか、または既存のフロー エクスポータを変更して、Flexible NetFlow フロー エクスポータ コンフィギュレーション モードを開始します。

ステップ 4

destination {ip-address | hostname} [ vrf vrf-name]

例:


Device(config-flow-exporter)# destination 172.16.10.2

エクスポータの宛先システムの IP アドレスまたはホスト名を指定します。

ステップ 5

end

例:


Device(config-flow-exporter)# end

Flexible NetFlow フロー エクスポータ コンフィギュレーション モードを終了して、特権 EXEC モードに戻ります。

フロー モニタの設定

始める前に

フロー エクスポータをデータ エクスポート用のフロー モニタに追加するには、フロー エクスポータを作成していることを確認します。詳細については、「フロー エクスポータの設定」の項を参照してください。

手順の概要

  1. enable
  2. configure terminal
  3. flow monitor monitor-name
  4. record record-name
  5. exporter exporter-name
  6. end

手順の詳細

  コマンドまたはアクション 目的

ステップ 1

enable

例:


Device> enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:


Device# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

flow monitor monitor-name

例:


Device(config)# flow monitor FLOW-MONITOR-1

フロー モニタを作成するか、または既存のフロー モニタを変更して、Flexible NetFlow フロー モニタ コンフィギュレーション モードを開始します。

ステップ 4

record record-name

例:


Device(config-flow-monitor)# record FLOW-RECORD-1

フロー モニターのレコードを指定します。

ステップ 5

exporter exporter-name

例:


Device(config-flow-monitor)# exporter EXPORTER-1

フロー モニタのエクスポータを指定します。

ステップ 6

end

例:


Device(config-flow-monitor)# end

Flexible NetFlow フロー モニタ コンフィギュレーション モードを終了して、特権 EXEC モードに戻ります。

インターフェイスへのフロー モニタの適用

フロー モニタをアクティベートするには、フロー モニタを 1 つ以上のインターフェイスに適用する必要があります。

始める前に

フロー モニタを作成していることを確認します。詳細については、「フロー モニタの設定」の項を参照してください。

手順の概要

  1. enable
  2. configure terminal
  3. interface type number
  4. {ip | ipv6} flow monitor monitor-name {input | output}
  5. end

手順の詳細

  コマンドまたはアクション 目的

ステップ 1

enable

例:


Device> enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:


Device# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

interface type number

例:


Device(config)# interface ethernet 0/0

インターフェイスを指定し、インターフェイス コンフィギュレーション モードを開始します。

ステップ 4

{ip | ipv6} flow monitor monitor-name {input | output}

例:


Device (config-if)# ip flow monitor FLOW-MONITOR-1 input

作成済みのフロー モニタを、トラフィックの分析対象となるインターフェイスに割り当てることで、そのフロー モニタをアクティブにします。

ステップ 5

end

例:


Device(config-if)# end

インターフェイス コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。

Cisco TrustSec フィールドの Flexible NetFlow エクスポートの確認

手順の概要

  1. enable
  2. show flow record record-name
  3. show flow exporter exporter-name
  4. show flow monitor monitor-name
  5. show flow monitor monitor-name cache
  6. show flow interface type number

手順の詳細

ステップ 1

enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。


例:


Device> enable

ステップ 2

show flow record record-name

指定した Flexible Netflow（FNF）フロー レコードの詳細を表示します。


例:


Device> show flow record cts-recordipv4

flow record cts-recordipv4:
  Description:        User defined
  No. of users:       1
  Total field space:  30 bytes
  Fields:
    match ipv4 protocol
    match ipv4 source address
    match ipv4 destination address
    match transport source-port
    match transport destination-port
    match interface input
    match interface output
    match flow direction
    match flow cts source group-tag
    match flow cts destination group-tag
    collect counter packets

ステップ 3

show flow exporter exporter-name

指定した FNF フロー エクスポータの現在のステータスを表示します。


例:


Device> show flow exporter EXPORTER-1

Flow Exporter EXPORTER-1:
  Description:              User defined
  Export protocol:          NetFlow Version 9
  Transport Configuration:
    Destination IP address: 100.100.100.1
    Source IP address:      3.3.3.2
    Transport Protocol:     UDP
    Destination Port:       2055
    Source Port:            65252
    DSCP:                   0x0
    TTL:                    255
    Output Features:        Used

ステップ 4

show flow monitor monitor-name

指定した FNF フロー モニタのステータスと統計情報を表示します。


例:


Device> show flow monitor FLOW-MONITOR-1

Flow Monitor FLOW-MONITOR-1:
  Description:       User defined
  Flow Record:       cts-recordipv4
  Flow Exporter:     EXPORTER-1
  Cache:
    Type:                 normal (Platform cache)
    Status:               allocated
    Size:                 200000 entries
    Inactive Timeout:     60 secs
    Active Timeout:       1800 secs
    Update Timeout:       1800 secs
    Synchronized Timeout: 600 secs
    Trans end aging:      off

ステップ 5

show flow monitor monitor-name cache

指定した FNF フロー モニタ キャッシュのコンテンツを表示します。


例:


Device> show flow monitor FLOW-MONITOR-1 cache

  Cache type:                              		 Normal
  Cache size:                                 4096
  Current entries:                            2
  High Watermark:                            	2

  Flows added:                                6
  Flows aged:                                 4
    - Active timeout      (1800 secs)  	      0
    - Inactive timeout    (15 secs)    	      4
    - Event aged                              0
    - Watermark aged                          0
    - Emergency aged                          0

  IPV4 SOURCE ADDRESS:       		               10.1.0.1
  IPV4 DESTINATION ADDRESS:  	                172.16.2.0
  TRNS SOURCE PORT:          		               58817
  TRNS DESTINATION PORT:     	                23
  FLOW DIRECTION:            		               Input
  IP PROTOCOL:               		               6
  SOURCE GROUP TAG: 				                      100
  DESTINATION GROUP TAG: 		                   200
  counter packets:           		               10

  IPV4 SOURCE ADDRESS:       		               172.16.2.0
  IPV4 DESTINATION ADDRESS:  	                10.1.0.1
  TRNS SOURCE PORT:          		               23
  TRNS DESTINATION PORT:     	                58817
  FLOW DIRECTION:            		               Output
  IP PROTOCOL:               				             6
  SOURCE GROUP TAG: 				                      200
  DESTINATION GROUP TAG:		                    100
  counter packets:           				             8

ステップ 6

show flow interface type number

指定したインターフェイスに適用される FNF フロー モニタの詳細を表示します。フロー モニタがインターフェイスに適用されない場合、出力は空になります。


例:


Device>  show flow interface GigabitEthernet0/0/3

Interface GigabitEthernet0/0/3
  FNF:  monitor:          FLOW-MONITOR-1
        direction:        Input
        traffic(ip):      on
  FNF:  monitor:          FLOW-MONITOR-1
        direction:        Output
        traffic(ip):      on

Cisco TrustSec フィールドの Flexible NetFlow エクスポートの設定例

例：フロー レコードのキー フィールドとしての Cisco TrustSec フィールドの設定

次の例は、Cisco TrustSec フロー オブジェクトを、IPv4 Flexible NetFlow フロー レコードのキー フィールドとして設定する方法を示します。 


Device> enable
Device# configure terminal
Device(config)# flow record cts-record-ipv4
Device(config-flow-record)# match ipv4 protocol
Device(config-flow-record)# match ipv4 source address
Device(config-flow-record)# match ipv4 destination address
Device(config-flow-record)# match transport source-port
Device(config-flow-record)# match transport destination-port
Device(config-flow-record)# match flow direction
Device(config-flow-record)# match flow cts source group-tag
Device(config-flow-record)# match flow cts destination group-tag
Device(config-flow-record)# end

例：フロー レコードの非キー フィールドとしての Cisco TrustSec フィールドの設定

次の例は、Cisco TrustSec フロー オブジェクトを、IPv4 Flexible NetFlow フロー レコードの非キー フィールドとして設定する方法を示します。 


Device> enable
Device# configure terminal
Device(config)# flow record cts-record-ipv4
Device(config-flow-record)# match ipv4 protocol
Device(config-flow-record)# match ipv4 source address
Device(config-flow-record)# match ipv4 destination address
Device(config-flow-record)# match transport source-port
Device(config-flow-record)# match transport destination-port
Device(config-flow-record)# collect flow direction
Device(config-flow-record)# collect flow cts source group-tag
Device(config-flow-record)# collect flow cts destination group-tag
Device(config-flow-record)# collect counter packets
Device(config-flow-record)# end

例：フロー エクスポータの設定


Device> enable
Device# configure terminal
Device(config)# flow exporter EXPORTER-1
Device(config-flow-exporter)# destination 172.16.10.2
Device(config-flow-exporter)# end

例：フロー モニタの設定


Device> enable
Device# configure terminal
Device(config)# flow monitor FLOW-MONITOR-1
Device(config-flow-monitor)# record FLOW-RECORD-1
Device(config-flow-monitor)# exporter EXPORTER-1
Device(config-flow-monitor)# end

例：インターフェイス上のフロー モニタの適用

次の例は、トラフィックを分析するインターフェイスに IPv4 フロー モニタを適用することで、このフロー モニタをアクティベートする方法を示します。IPv6 フローモニタをアクティベートするには、ip キーワードを ipv6 キーワードと置き換えます。 


Device> enable
Device# configure terminal
Device(config)# interface ethernet 0/0
Device(config-if)# ip flow monitor FLOW-MONITOR-1 input
Device(config-if)# end

Cisco TrustSec フィールドの Flexible NetFlow エクスポートに関する追加情報

関連資料

関連項目

マニュアル タイトル

セキュリティ コマンド

Flexible NetFlow でのデータ エクスポート

『Flexible Netflow Configuration Guide』パブリケーションの「Flexible NetFlow Output Features on Data Export」の章

Flexible NetFlow のフロー レコードとフロー モニタ

『Flexible Netflow Configuration Guide』パブリケーションの「Customizing Flexible NetFlow Flow Records and Flow Monitors」の章

シスコのテクニカル サポート

説明

リンク

シスコのサポート Web サイトでは、シスコの製品やテクノロジーに関するトラブルシューティングにお役立ていただけるように、マニュアルやツールをはじめとする豊富なオンライン リソースを提供しています。

お使いの製品のセキュリティ情報や技術情報を入手するために、Cisco Notification Service（Field Notice からアクセス）、Cisco Technical Services Newsletter、Really Simple Syndication（RSS）フィードなどの各種サービスに加入できます。

シスコのサポート Web サイトのツールにアクセスする際は、Cisco.com のユーザ ID およびパスワードが必要です。

http://www.cisco.com/cisco/web/support/index.html

Cisco TrustSec フィールドの Flexible NetFlow エクスポートの機能情報

次の表に、このモジュールで説明した機能に関するリリース情報を示します。この表は、ソフトウェア リリース トレインで各機能のサポートが導入されたときのソフトウェアリリースだけを示しています。その機能は、特に断りがない限り、それ以降の一連のソフトウェアリリースでもサポートされます。

プラットフォームのサポートおよびシスコ ソフトウェアイメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator にアクセスするには、www.cisco.com/go/cfn に移動します。Cisco.com のアカウントは必要ありません。

表 1. Cisco TrustSec フィールドの Flexible NetFlow エクスポートの機能情報

機能名

リリース

機能情報

Cisco TrustSec フィールドの Flexible NetFlow エクスポート

Cisco TrustSec フィールドの Flexible NetFlow エクスポートでは、Flexible Netflow（FNF）フロー レコード内の Cisco TrustSec フィールドをサポートし、Cisco TrustSec 導入の標準から外れた動作のモニタ、トラブルシューティング、および特定を支援します。

この機能により、次のコマンドが導入されました。match flow cts {source | destination} group-tag および collect flow cts {source | destination} group-tag 。