Implantação de IPFIX: guia prático para provedores

O que é IPFIX e como funciona a implantação de IPFIX?

IPFIX é o padrão aberto que nasceu do NetFlow versão 9: o roteador agrupa pacotes em fluxos e exporta registros com os campos escolhidos num modelo, o template. A implantação liga essa exportação nas interfaces certas e aponta para um coletor.

Para o provedor, a diferença prática em relação ao NetFlow antigo é a flexibilidade de campos e o suporte de vários fabricantes. O IPFIX é a base técnica da página de NetFlow e análise de tráfego, que cobre também coletor, painéis e alertas.

Repare na linha do IPv6: quem ainda exporta em NetFlow v5 não enxerga o tráfego IPv6, que cresce a cada mês nos provedores que já entregam endereço aos assinantes.

Registro, exportador, monitor e coletor

Quatro peças aparecem em qualquer implantação, com nomes que mudam um pouco de fabricante para fabricante. Entender o papel de cada uma evita a maior parte das dúvidas na hora de configurar.

• Registro: define quais campos identificam um fluxo e quais contadores são coletados.
• Exportador: diz para onde os registros vão, por qual porta e em qual protocolo.
• Monitor: junta o registro e o exportador e define o tempo de cache de cada fluxo.
• Coletor: o servidor que recebe, guarda e mostra os fluxos exportados.

IPFIX, NetFlow ou sFlow, qual usar no provedor?

Use IPFIX nos roteadores de borda, onde importa saber cada conversa com origem, destino e portas. Nos switches, onde o equipamento não guarda estado de fluxo, o sFlow costuma ser a opção possível.

• IPFIX: registros de fluxo completos, bons para análise de consumo, detecção de ataque e planejamento.
• NetFlow v9: parecido com o IPFIX, útil quando o equipamento não suporta o padrão aberto.
• NetFlow v5: só faz sentido em equipamento antigo, porque não enxerga IPv6.
• sFlow: amostras de pacotes enviadas em segundos, comuns em switches e alguns roteadores.

Muitos provedores usam os dois: IPFIX na borda e sFlow nos switches de agregação, num coletor que entende ambos. O guia de implantação de sFlow mostra a outra metade dessa combinação.

Quando vale migrar do NetFlow v5 para IPFIX

Vale migrar assim que o provedor começa a entregar IPv6 aos assinantes, porque o v5 deixa esse tráfego invisível. Também vale quando o coletor precisa de campos que o formato fixo não tem.

Na maioria dos roteadores atuais, a troca é feita no exportador, mudando o protocolo de exportação, sem trocar o coletor. Confira antes se o coletor em uso já entende templates IPFIX. [CONFIRMAR suporte no coletor]

Implantação de IPFIX passo a passo

A implantação de IPFIX exige quatro blocos de configuração no roteador e um coletor alcançável pela rede de gerência. O exemplo usa Flexible NetFlow em Cisco IOS-XE, exportando em IPFIX.

1. Registro: escolha os campos que identificam o fluxo, como endereços, portas, protocolo e interface de entrada.
2. Exportador: aponte para o coletor, use a Loopback como origem e a porta UDP 4739 com protocolo IPFIX.
3. Amostragem: defina a taxa conforme a velocidade da interface, para não sobrecarregar o roteador.
4. Monitor: junte registro e exportador e ajuste o tempo de cache ativo.
5. Interface: aplique o monitor nas interfaces de borda, no sentido de entrada.

O coletor no exemplo usa o endereço de documentação 198.51.100.20. Troque pelo endereço real e confira se a rota de gerência chega até ele a partir da Loopback0.

flow record REG-BORDA
 match ipv4 source address
 match ipv4 destination address
 match transport source-port
 match transport destination-port
 match ipv4 protocol
 match interface input
 collect counter bytes long
 collect counter packets long
 collect timestamp absolute first
 collect timestamp absolute last
!
flow exporter EXP-COLETOR
 destination 198.51.100.20
 source Loopback0
 transport udp 4739
 export-protocol ipfix
 template data timeout 60
!
sampler AMOSTRA-1000
 mode random 1 out-of 1000
!
flow monitor MON-BORDA
 record REG-BORDA
 exporter EXP-COLETOR
 cache timeout active 60
!
interface TenGigabitEthernet0/0/0
 ip flow monitor MON-BORDA sampler AMOSTRA-1000 input

Repita o registro para IPv6. Em links grandes, a amostragem de 1 em 1.000 reduz a carga sem perder a visão de ataques volumétricos.

Como cobrir o tráfego IPv6

O registro do exemplo só casa campos IPv4, então o tráfego IPv6 passa sem ser contado. É preciso um segundo registro com os campos de endereço IPv6 e um segundo monitor aplicado nas mesmas interfaces.

O exportador e o sampler podem ser os mesmos. No coletor, separe os painéis por versão de IP para enxergar o crescimento do IPv6 e os ataques que chegam por ele.

Em quais interfaces ativar

Comece pelas interfaces de trânsito e de ponto de troca, por onde entra o tráfego de fora. Elas mostram ataques e consumo por origem com o menor número de pontos de coleta.

Exportar só a entrada de uma interface mostra metade da conversa. Para ver o tráfego nos dois sentidos, ative a entrada em todas as interfaces de borda, ou entrada e saída onde o roteador suportar sem duplicar fluxos.

Como escolher e dimensionar o coletor

O coletor recebe, guarda e mostra os fluxos, e o tamanho dele depende de quantos fluxos por segundo chegam e por quanto tempo você quer guardar. Ferramentas livres como nfdump e pmacct atendem bem a maioria dos provedores regionais.

• Disco: estime pelo volume de fluxos por segundo e pelo tempo de guarda desejado.
• Retenção: defina quantos dias de fluxo bruto e quantos meses de dados agregados.
• Alertas: limites por destino para detectar ataques em menos de um minuto.

Meça alguns dias de fluxos antes de comprar armazenamento, porque o volume real costuma surpreender para mais ou para menos. A medida certa vem da sua rede, não de uma tabela genérica.

Com um ataque de DDoS detectado, a resposta pode ser a configuração de RTBH. Para proteger o acesso aos roteadores que exportam os fluxos, veja a implantação de TACACS+.

Por quanto tempo guardar os fluxos

Fluxo bruto ocupa muito disco e costuma ser útil por poucos dias, para investigar um ataque ou uma reclamação recente. Dados agregados por hora ou por dia ocupam pouco e servem para planejar capacidade por meses.

Defina as duas retenções antes de comprar disco e revise depois do primeiro mês de uso real. [CONFIRMAR retenção adotada pelo provedor]

O que olhar no coletor no dia a dia

O coletor não serve só para o dia do ataque. Três consultas simples já mudam a forma de planejar a rede.

• Maiores destinos: quais serviços externos consomem mais o link de trânsito no horário de pico.
• Maiores assinantes: quem concentra tráfego fora do padrão, o que pode indicar abuso ou equipamento infectado.
• Origem do tráfego: quanto entra por cada operadora e pelo ponto de troca, para negociar capacidade.

Erros comuns na implantação de IPFIX

A maioria dos coletores vazios ou com números errados vem de poucos pontos de configuração. Quase todos aparecem no primeiro teste, se alguém comparar o coletor com a interface.

O erro do firewall é o mais traiçoeiro, porque o roteador mostra a exportação funcionando e o coletor fica vazio. Confira com uma captura no coletor se os pacotes UDP chegam antes de mexer na configuração do roteador.

Proteja o caminho dos fluxos

Os fluxos mostram quem conversa com quem na sua rede, então o caminho até o coletor faz parte do hardening da gerência. Exponha o coletor só para a rede de gerência e para quem consulta os painéis.

Os registros de fluxo também ajudam a reconstruir um incidente de segurança depois que ele acontece, o que conversa com o registro de incidentes que o R-Ciber cobra dos provedores. [CONFIRMAR na norma]

Tempo de cache e fluxos longos

Com cache ativo de 60 segundos, uma conversa longa, como um download grande, sai em vários registros. Isso é esperado e mantém o coletor atualizado durante o fluxo.

Um cache ativo muito alto atrasa a visão do ataque, porque o registro só sai quando o tempo vence. Para detecção de ataque, prefira valores baixos como o do exemplo.

Como validar a implantação de IPFIX?

Compare o volume do coletor com os contadores da interface e confirme que todos os campos chegam. Só depois disso os alertas merecem confiança.

Exemplo: o coletor mostrando um ataque

Um caso típico mostra o valor da implantação feita antes. No horário de pico, o link de trânsito enche e os assinantes reclamam de lentidão.

1. Alerta: o coletor dispara o limite por destino para um único IP de assinante.
2. Leitura: os fluxos mostram milhares de origens mandando UDP para o mesmo endereço, um padrão de ataque refletido.
3. Decisão: o NOC confirma que o IP pode ficar fora e dispara o blackhole na operadora.
4. Depois: os fluxos guardados mostram início, pico e fim do ataque para o relatório do incidente.

Sem IPFIX, o mesmo caso começa com o técnico procurando no escuro qual assinante está sendo atacado, enquanto a base inteira fica lenta. O guia de ataque DDoS no provedor mostra a resposta completa.

Perguntas frequentes sobre IPFIX

Thiago Manoel

Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]

Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.

A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.

Conheça a equipe da Táquion Tech