網路管理之 Foundry sFlow 應用

■  sFlow(RFC3176)簡介

sFlow（RFC 3176）是基於標準的最新網路導出協議，能夠解決當前網路管理人員面臨的很多問題。sFlow已經成為一項線速運行的“永遠線上”技術，可以將sFlow技術嵌入到網路路由器和交換機ASIC晶片中。與使用鏡像埠、探針和旁路監測技術的傳統網路監視解決方案相比，sFlow能夠明顯地降低實施費用，同時可以使邁向每一個埠的全企業網路監視解決方案成為可能。

與數據包採樣技術（如RMON）不同，sFlow是一種導出格式，它增加了關於被監視數據包的更多資訊，並使用嵌入到網路設備中的sFlow代理轉發被採樣數據包，因此在功能和性能上都超越了當前使用的RMON、RMON II和NetFlow技術。

sFlow技術獨特之處在於它能夠在整個網路中，以連續實時的方式監視每一個埠，但不需要鏡像監視埠，對整個網路性能的影響也非常小。

sFlow使擁有高速1G和10G埠的網路能夠得到精確的監視，同時經過擴展，可以在一個採集點上管理數萬個埠。因為sFlow代理嵌入在網路路由器和交換機ASIC中，所以與傳統的網路監視解決方案相比，這種方法的實施成本要低得多，而且也不需要購買額外的探針和旁路器，就能全面監視整個網路。

與那些需要鏡像埠或網路旁路器，來監視傳輸流量的解決方案不同，在 sFlow 的解決方案中，並不是每一個數據包都發送到採集器（接收sFlow數據包的設備）。

sFlow使用兩種獨立的採樣方法來獲取數據—針對交換數據流的基於數據包統計採樣方法和基於時間採樣的針對網路介面統計數據。

sFlow還能使用不同的採樣率，對交換機或僅對其中一些埠實施監視，這樣保證了在設計管理方案時的靈活性。

■  利用sFlow“查出”安全隱患

傳統的網路安全解決方案，要實現整個企業的安全，越來越多地需要耗費大量資源。在現代網路中的1G和10G乙太網鏈路，使防火牆和IDS越來越難以承擔監視和控制流量的任務。將防火牆和IDS放置在關鍵網路（如伺服器群組和擁有大量知識資產的部門）的入口點，有可能將會出現多種問題。

像檢查點的增加勢必引起性能下降。鏡像埠不能轉發幾千兆上行鏈路的所有流量，適應Gigabit速度的防火牆和IDS系統非常昂貴，捕獲數據的集中管理和觀察非常耗費資源，沒有足夠的IT資源來安裝所有防火牆和IDS系統，並維護和執行所要求的操作等。以及在大流量攻擊面前，依賴鏡像埠或旁路器的傳統安全部件會不堪負荷——削減了總體效能。

一個非常好的類似例子，就是一些特殊場合的安全監視攝像機。安全監視系統使特殊場合的保安部門，能夠連續監視到每個角落，而不僅僅是前門入口。sFlow技術的作用與其類似，它使IT和安全部門人員，能夠時刻監視到整個企業網路，而不會增加網路基礎設施的負擔。

雖然sFlow並不是一項對所有轉發數據包進行安全分析的完全“鏡像埠”或“網路旁路”技術，但是它可以提供適合安全監視和策略執行的大量資訊。sFlow的優勢在於能夠對安全採集器提供的實時採樣數據進行分析，從而提供整個網路的連續監視能力。

通過網路設備ASIC晶片實現數據收集技術，即使是網路在受到大量拒絕服務攻擊時也不會影響性能。在遭到拒絕服務攻擊時，惡意流量急劇增加，而被採樣的數據包也將與惡意流量成比例地增加，這樣可以快速判斷出攻擊行為，從而保障採集器不會因攻擊數據包的增加而過載。

採樣數據可以用於創建比較流量的正常使用基準。這些基準可用於顯示出使用埠映射、使用ping和port掃描進行探測的偵察行為；顯示出消耗電腦資源或網路帶寬，以阻止主機通信的拒絕服務攻擊，如採用ICMP的Smurf攻擊或SYN flood攻擊；顯示出採用重復登錄或TCP劫持，對網路上的主機造成威脅的行為；顯示出以不正確的方式使用系統的錯誤使用行為，以及使用企業策略禁止的服務和應用。

■  查出網路安全隱憂最佳應用 ＝ sFlow + Foundry INM + Snort

利用Foundry switch 內建sFlow的技術，加上INM網管軟體搭配免費的Snort軟體，達成最佳解決網路安全問題的方式。

Foundry switch 每一個埠都內建ASIC的sFlow agent，可以提供每一個埠都能收集網路封包的功能，且無須外掛任何設備讓使用者大大的減少建置成本。

Snort 免費軟體可以提供目前最多的攻擊特徵碼，目前特徵碼為五千多種比商業套裝軟體目前最高只提供兩千多種特徵碼還多出很多。

Foundry INM網管軟體可以與Snort安裝於同一台並可以整合，利用從每一埠sFlow收集回來的資訊與Snort特徵碼比對，達成於每一埠部署IDS的成效。

sFlow + Foundry INM + Snort 應用示意圖