English+GermanWikipedia - /page/entry.mu

<!DOCTYPE html>

<title>Netflow</title>

</head>

<h1 id="firstHeading" class="firstHeading mw-first-heading"><span class="mw-page-title-main">Netflow</span></h1>

</header>

</div>

<p><b>Netflow</b> ist eine Technik, bei der ein Gerät, in der Regel ein <a href="Router" title="Router">Router</a> oder <a href="Layer-3-Switch" title="Layer-3-Switch">Layer-3-Switch</a>, Informationen über den <a href="Internet_Protocol" title="Internet Protocol">IP</a>-Datenstrom innerhalb des Geräts per <a href="User_Datagram_Protocol" title="User Datagram Protocol">UDP</a> exportiert. Diese UDP-<a href="Datagramm" title="Datagramm">Datagramme</a> werden von einem Netflow-Kollektor empfangen, gespeichert und verarbeitet. Die anfallenden Daten werden zur <a href="Netzwerkverkehrsanalyse" title="Netzwerkverkehrsanalyse">Verkehrsanalyse</a>, zur <a href="Dimensionierung" title="Dimensionierung">Dimensionierung</a> oder zur <a href="Quality_of_Service" title="Quality of Service">QoS</a>-Analyse verwendet.

</p>

<div class="mw-heading mw-heading2"><h2 id="Technik">Technik</h2></div>

<p>Netflow war ursprünglich eine <a href="Cisco_Systems" title="Cisco Systems">Cisco</a>-Technik, wird jetzt jedoch von vielen Herstellern unterstützt. Neben Netflow gibt es auch noch jFlow (<a href="Juniper_Networks" title="Juniper Networks">Juniper</a>) und Netstream (<a href="Huawei" title="Huawei">Huawei</a>). Beide sind technisch identisch mit Netflow. Es existieren verschiedene Versionen von Netflow. Netflow Version 9 ist als <a href="Offener_Standard" title="Offener Standard">offener Standard</a> in der RFC 3954<sup id="cite_ref-1" class="reference"><a href="#cite_note-1"><span class="cite-bracket">[</span>1<span class="cite-bracket">]</span></a></sup> beschrieben. Netflow Version 5 ist die in der Praxis am häufigsten verwendete Version. <a href="SFlow" title="SFlow">sFlow</a> (RFC 3176<sup id="cite_ref-2" class="reference"><a href="#cite_note-2"><span class="cite-bracket">[</span>2<span class="cite-bracket">]</span></a></sup>) verwendet statistisches <a href="Abtastung_(Signalverarbeitung)" title="Abtastung (Signalverarbeitung)">Sampling</a> und ist <a href="Kompatibilit%C3%A4t_(Technik)" title="Kompatibilität (Technik)">inkompatibel</a> zu Netflow. Es existieren jedoch <a href="Konvertierung_(Informatik)" title="Konvertierung (Informatik)">Konverter</a>. Der <a href="Internet_Protocol_Flow_Information_Export" title="Internet Protocol Flow Information Export">IPFIX</a> Standard (RFC 3917<sup id="cite_ref-3" class="reference"><a href="#cite_note-3"><span class="cite-bracket">[</span>3<span class="cite-bracket">]</span></a></sup>) wird herstellerunabhängig entwickelt und stellt eine Erweiterung von Netflow Version 9 dar.

</p><p>Ein Flow enthält typischerweise folgende Informationen:

</p>

<ul><li>Versionsnummer und <a href="Sequenznummer" title="Sequenznummer">Sequenznummer</a></li>

<li><a href="Zeitstempel" title="Zeitstempel">Zeitstempel</a></li>

<li><a href="Byte" title="Byte">Byte</a>- und Paketzähler</li>

<li>Quell- und Ziel-IP-Adressen</li>

<li>Quell- und Ziel-IP-Ports</li>

<li><a href="Ingress-Filter" title="Ingress-Filter">Ingress</a>- und <a href="Egress" class="mw-disambig" title="Egress">Egress</a>-<a href="Port_(Protokoll)" class="mw-redirect" title="Port (Protokoll)">Port</a>-Nummern</li>

<li>TOS-Informationen</li>

<li><a href="AS-Nummer" class="mw-redirect" title="AS-Nummer">AS-Nummern</a> (<a href="Border_Gateway_Protocol" title="Border Gateway Protocol">BGP 4</a>)</li>

<li><a href="Transmission_Control_Protocol" title="Transmission Control Protocol">TCP</a>-<a href="Flag_(Informatik)" title="Flag (Informatik)">Flags</a></li>

<li>Protokoll-Typ (z. B. TCP, UDP oder ICMP)</li></ul>

<p>Je nach Netflow-Version unterscheidet sich der Inhalt der Exportdatagramme leicht. Detaillierte Informationen können auf der Cisco-Seite gefunden werden.

</p>

<div class="mw-heading mw-heading2"><h2 id="Anwendung">Anwendung</h2></div>

<p>Netflow ist, wie <a href="Simple_Network_Management_Protocol" title="Simple Network Management Protocol">SNMP</a>, ein passives <a href="Messverfahren" class="mw-redirect" title="Messverfahren">Messverfahren</a>, d. h. man beobachtet den Verkehr, ohne diesen zu beeinflussen. Wie alle passiven Messverfahren erzeugt auch Netflow Volumen-Informationen, typischerweise <a href="Daten%C3%BCbertragungsrate" title="Datenübertragungsrate">kBit/s</a>.

</p><p>Um die Netflow-Daten analysieren zu können, ist eine Kollektor-Software notwendig. Es werden in der Regel zwei Arten von Analysen durchgeführt:

</p>

<ul><li>Top-N-Analysen</li>

<li>Zeitanalysen</li></ul>

<p>Bei Top-N-Analysen werden in einem frei definierbaren Zeitraum, z. B. 24 Stunden, diejenigen Elemente gesucht, die den meisten Verkehr erzeugen. Kriterien können Sender-IP-Adressen (<i>Top Talker</i>), TCP-Ports (<i>Top Applications</i>) oder andere Einträge aus dem Netflow-Datagramm sein. In einigen Systemen wird diese Top-N-Analyse über SQL-Queries mittels "Group-By" zur Laufzeit erzeugt, oder es werden spezielle Analyse-Datenbestände bereitgehalten. Diese speziellen Datenbestände werden durch den Kollektor zur Laufzeit aktuell gehalten. Hierbei hat man den Vorteil, dass das Reporting-Frontend schnell auf fertige Datenbestände zugreifen kann, auf der anderen Seite wächst der Bedarf an Storage.

</p><p>Zeitanalysen zeigen das Volumen von Verkehrskomponenten über einer <a href="Zeitachse" class="mw-redirect" title="Zeitachse">Zeitachse</a>.

</p><p>Da die Netflow-Datagramme per UDP übertragen werden, muss der Kollektor schnell genug sein, die <a href="Daten" title="Daten">Daten</a> zu empfangen, zu verarbeiten und zu speichern. Verlorene Datagramme können nicht wiederhergestellt werden. Besonders problematisch ist deshalb die Übertragung von Netflow-Daten über <a href="Wide_Area_Network" title="Wide Area Network">WAN</a>-Strecken. Verteilte Systeme haben sich hier besonders gut bewährt. Einige Systeme sind in der Lage, Auswertungen in einem zentralen <a href="Data-Mart" title="Data-Mart">Data-Mart</a> vorzuhalten. Das hat den Vorteil, dass Daten nicht wiederholt und mehrfach über WAN Strecken übertragen werden müssen.

</p><p>Technisch verwenden die Hersteller meist eine erste Datenbank als "Raw-Data" in der die Netflow-Datagramme in Rohform gesichert werden. Erst ein nachfolgender Prozess normalisiert die Daten und speichert das Ergebnis in einer Datenbank, - meist einer relationalen Datenbank, auf die dann das Reporting-Frontend zugreift. Da die Daten hierbei einmal als Rohdaten und dann ein zweites Mal in einer normalisierten Form gespeichert werden, sind die Transferleistungen der Storagesysteme eine der wichtigsten und limitierenden Kenngrößen. Meist wird das Storage lokal als Hardware-Raid ausgebaut. Eine Implementierung über ein Software-Raid kann zu Leistungseinbußen führen.

</p><p>Im Umfeld von <a href="Internetdienstanbieter" title="Internetdienstanbieter">Internetdienstanbietern</a> ist die <a href="Mandantenf%C3%A4higkeit" title="Mandantenfähigkeit">Mandantenfähigkeit</a> eine wichtige Eigenschaft von Netflow-Systemen. Diese stellt sicher, dass Teilnehmer nur die für sie jeweils relevanten Daten einsehen können. Kunden haben hierbei dann nur Zugriff auf die Flows der eigenen Interfaces und nicht auf alle Interfaces des Flow-Senders.

</p>

<div class="mw-heading mw-heading2"><h2 id="Freie_Software">Freie Software</h2></div>

<ul><li>flowd NetFlow collector</li>

<li><a href="Nagios" title="Nagios">Nagios</a></li>

<li>NetWork analysis software</li>

<li>nfdump, Kollector und Analyse Werkzeuge und nfsen, Webfrontend zu nfdump</li>

<li>PMACCT Netflow, sFlow Collector. Verwendet libpcap</li>

<li><a href="Pandora_FMS" title="Pandora FMS">Pandora FMS</a></li></ul>

<p>Bei beiden besteht die Möglichkeit zum Kauf eines Lizenzschlüssels.

</p>

<div class="mw-heading mw-heading2"><h2 id="Kommerzielle_Software">Kommerzielle Software</h2></div>

<caption>Produkteigenschaften

</caption>

<th>Produkt</th>

<th>Netflow</th>

<th>cFlow</th>

<th>jFlow</th>

<th>Netstream</th>

<th>sFlow</th>

<th>IPFIX</th>

<th>Verteilt</th>

<th>Mandantenfähig</th>

<th>Zentraler Data-Mart</th>

<th>Cluster oder Hierarchy</th>

<th>weitere-FlowVersionen</th>

<th>Max-Flow/Minute</th>

<th>Alarme based on Flows

</th></tr>

<tr>

<th>AdvaICT NetHound (online service)

</th>

<td>

</td></tr>

<tr>

<th>Caligare Flow Inspector

</th>

<td>

</td></tr>

<tr>

<th>Cisco

</th>

<td>

</td></tr>

<tr>

<th>IBM Aurora

</th>

<td>

</td></tr>

<tr>

<th>Infosim StableNet

</th>

<td>

</td></tr>

<tr>

<th>INVEA-TECH FlowMon

</th>

<td>

</td></tr>

<tr>

<th>IsarFlow

</th>

<td>Hierarchie</td>

<td>

</td></tr>

<tr>

<th>IS-IT-ON NetFlow Analyzer

</th>

<td>

</td></tr>

<tr>

<th><a href="ManageEngine" title="ManageEngine">ManageEngine</a> NetFlow Analyzer

</th>

<td>

</td></tr>

<tr>

<th><a href="Paessler_PRTG" title="Paessler PRTG">Paessler PRTG</a>

</th>

<td>

</td></tr>

<tr>

<th>Progress <a href="WhatsUp_Gold" title="WhatsUp Gold">WhatsUp Gold</a> (ehem. IPSwitch)

</th>

<td>

</td></tr>

<tr>

<th>Riverbed Network Performance

</th>

<td style="background-color: var(--dewiki-hintergrundfarbe9); color: #000000; vertical-align: middle; text-align:center; {{{style}}}" class="hintergrundfarbe9">ja bezogen auf Dashboards</td>

<td>Clusterfähig</td>

<td>NAM, NBAR, NBAR2, Cisco MediaNet, Cisco ASA NSEL, Citrix AppFlow, Packeteer FDR, Palo Alto Networks, and SteelFlow from SteelHead appliances</td>

<td>10 M deduplizierte Flows/min (Clusterfähig)</td>

<td style="background-color: var(--dewiki-hintergrundfarbe9); color: #000000; vertical-align: middle; text-align:center; {{{style}}}" class="hintergrundfarbe9">ja

</td></tr>

<tr>

<th>SolarWinds Orion NetFlow Traffic Analyzer

</th>

<td>

</td></tr>

<tr>

<th>SevOne Dedicated Netflow Collector (DNC) (auch Bestandteil von PAS)

</th>

<td>Cluster</td>

<td>SFLow, Cisco-NAM, -NBAR, -Medianet, dFlow, jFlow, NSEL, jedes Flowfeld kann als Key oder Metric registriert werden</td>

<td>12M Flows/min auf DNC1000HFC, Clusterfähig</td>

<td style="background-color: var(--dewiki-hintergrundfarbe9); color: #000000; vertical-align: middle; text-align:center; {{{style}}}" class="hintergrundfarbe9">ja

</td></tr>

<tr>

<th>IPHost Monitor Networks Monitoring Software

</th>

<td>Hierarchie</td>

<td>Cisco-NAM/NBAR</td>

<td>

</td></tr>

<tr>

<th>THB-Netflow

</th>

<td>Cluster</td>

<td>Cisco-AVC, -NBAR, Medianet, Barracuda, jedes Flowfeld kann dynamisch konfiguriert werden</td>

<td>via Grafana

</td></tr></tbody></table>

<div class="mw-heading mw-heading2"><h2 id="Einzelnachweise">Einzelnachweise</h2></div>

/* start https://de.wikipedia.org/ */

.mw-parser-output .dewiki-iconexternal>a{background-position:center right!important;background-repeat:no-repeat!important}body.skin-minerva .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/OOjs_UI_icon_external-link-ltr-progressive.svg")!important;background-size:10px!important;padding-right:13px!important}body.skin-timeless .mw-parser-output .dewiki-iconexternal>a,body.skin-monobook .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/MediaWiki_external_link_icon.svg")!important;padding-right:13px!important}body.skin-vector .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/Link.ernal-small-ltr-progressive.svg")!important;background-size:0.857em!important;padding-right:1em!important}

/* end https://de.wikipedia.org/ */

</style><span class="dewiki-iconexternal"><a href="https://datatracker.ietf.org/doc/html/rfc3954" class="extiw external" title="rfc:3954">3954</a></span></i> – <i><span lang="en">Cisco Systems NetFlow Services Export Version 9</span></i>. Oktober 2004 (englisch).</span>

</li>

<li id="cite_note-2"><span class="mw-cite-backlink"><a href="#cite_ref-2">↑</a></span> <span class="reference-text"><i><a href="Request_for_Comments" title="Request for Comments">RFC</a>: <span class="dewiki-iconexternal"><a href="https://datatracker.ietf.org/doc/html/rfc3176" class="extiw external" title="rfc:3176">3176</a></span></i> – <i><span lang="en">InMon Corporation's sFlow: A Method for Monitoring Traffic in Switched and Routed Networks</span></i>. September 2001 (englisch).</span>

</li>

<li id="cite_note-3"><span class="mw-cite-backlink"><a href="#cite_ref-3">↑</a></span> <span class="reference-text"><i><a href="Request_for_Comments" title="Request for Comments">RFC</a>: <span class="dewiki-iconexternal"><a href="https://datatracker.ietf.org/doc/html/rfc3917" class="extiw external" title="rfc:3917">3917</a></span></i> – <i><span lang="en">Requirements for IP Flow Information Export (IPFIX)</span></i>. Oktober 2004 (englisch).</span>

</li>

</ol></div><div><div class="zim-footer">

Dieser Artikel wurde von <a class="external text" title="Zuletzt bearbeitet am 2025-06-03" href="https://de.wikipedia.org/wiki/?title=Netflow&oldid=256643456">Wikipedia</a> herausgegeben. Der Text ist unter <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.de">Creative Commons Attribution-Share Alike 4.0</a> verfügbar, sofern nicht anders angegeben. Für die Mediendateien können zusätzliche Bedingungen gelten.

</div>

</div></div>

</div>

</main>

</div>

</body></html>