Guia técnico · Segurança de redes
Implantação de sFlow: guia prático para provedores
Implantação de sFlow: é a configuração que faz switches e roteadores enviarem a um coletor uma amostra dos pacotes, por exemplo 1 a cada 4.096, junto com os contadores das interfaces. É leve para o equipamento, funciona em quase todo switch e mostra em segundos quem está usando a rede ou atacando um IP.
Resumo
- O sFlow copia o cabeçalho de um pacote a cada N e o coletor multiplica pela taxa para estimar o tráfego total.
- A taxa de amostragem acompanha a velocidade da interface, de 1 em 1.024 no gigabit a 1 em 16.384 no 100 Gbps.
- Como o equipamento não guarda estado de fluxo, as amostras chegam ao coletor em segundos, sem esperar cache.
- A maioria dos números errados no coletor vem de amostragem diferente entre equipamentos sem aviso ao coletor.
O que é sFlow e como funciona a implantação de sFlow?
O sFlow é um método de amostragem: o equipamento copia o cabeçalho de um pacote a cada N pacotes e manda ao coletor, junto com os contadores das interfaces a cada intervalo. A implantação define a taxa, o coletor e as interfaces que entram na coleta.
Como o equipamento não guarda estado de fluxo, o sFlow pesa pouco e chega rápido ao coletor. Ele complementa o NetFlow e a análise de tráfego em redes com muitos switches, onde exportar fluxos completos não é possível ou pesa demais.
| Item | sFlow | IPFIX |
|---|---|---|
| O que envia | Amostras de pacotes e contadores | Registros de fluxos |
| Onde é comum | Switches e roteadores | Roteadores |
| Atraso até o coletor | Segundos | Depende do tempo de cache |
| Porta UDP padrão | 6343 | 4739 |
Amostras de pacotes e amostras de contadores
O sFlow manda dois tipos de dado ao coletor, definidos na especificação versão 5. Cada um responde a uma pergunta diferente sobre a rede.
- Amostra de pacote: o cabeçalho de um pacote sorteado, que mostra origem, destino, protocolo e portas.
- Amostra de contador: os contadores da interface enviados a cada intervalo, que mostram uso e erros.
O coletor usa as amostras de pacote para dizer quem gera o tráfego e as de contador para conferir se a estimativa bate com o total real da interface.
sFlow ou IPFIX, quando vale cada um?
Vale usar sFlow nos switches e em roteadores que o suportam em hardware, quando a prioridade é ver o tráfego em segundos com pouca carga. Vale usar IPFIX na borda quando você precisa do registro de cada conversa.
- Ataques: o sFlow aponta o destino de um ataque volumétrico em segundos, o que acelera o disparo da contenção.
- Switches de agregação: muitos modelos só oferecem sFlow, então ele é a única forma de enxergar esse trecho.
- Cobrança e auditoria: para contar cada conversa com precisão, o registro de fluxo é mais adequado.
Muitos provedores combinam os dois num coletor que entende ambos: sFlow nos switches e NetFlow ou IPFIX nos roteadores de borda. O guia de implantação de IPFIX cobre o lado dos roteadores.
Quando o sFlow sozinho não basta
O sFlow estima, não conta. Para responder a um pedido sobre uma conversa específica e curta, a amostra pode simplesmente não ter pegado nenhum pacote dela.
Nesses casos, o registro de fluxo na borda complementa a visão. O sFlow continua útil para o panorama e para a detecção rápida, e o fluxo completo fica para a análise detalhada.
Implantação de sFlow passo a passo
A implantação de sFlow leva poucos comandos por equipamento, mas exige decidir a taxa de amostragem antes. O exemplo é de um switch Arista EOS, enviando para um coletor no endereço de documentação 198.51.100.30.
- Taxa: escolha a amostragem pela velocidade das interfaces e pelo limite de amostras por segundo do modelo.
- Contadores: defina o intervalo de envio dos contadores das interfaces.
- Destino: aponte para o coletor na porta UDP 6343, com a Loopback como origem.
- Ativação: ligue o sFlow no equipamento e depois em cada interface que deve ser amostrada.
- Coletor: informe a taxa usada em cada equipamento, se o coletor não a ler das amostras.
sflow sample 4096
sflow polling-interval 20
sflow destination 198.51.100.30 6343
sflow source-interface Loopback0
sflow run
!
interface Ethernet1
sflow enableQuer ver ataques em segundos?
A Táquion Tech configura sFlow nos switches e roteadores, monta o coletor e os alertas por destino, com a taxa de cada equipamento conferida.
Onde ativar na rede do provedor
Comece pelos uplinks dos switches de agregação e pelas portas que ligam a borda ao resto da rede. Esses pontos mostram o tráfego de muitos assinantes com poucas interfaces amostradas.
- Uplinks de agregação: mostram o tráfego de bairros ou cidades inteiras.
- Portas de trânsito e IX: mostram o que entra de fora, onde aparecem os ataques.
- Uma ponta por link: amostrar as duas pontas do mesmo enlace conta o tráfego duas vezes.
Como escolher a taxa de amostragem
A taxa certa depende da velocidade da interface. Amostrar demais sobrecarrega o equipamento, e amostrar de menos tira precisão.
| Velocidade da interface | Taxa comum |
|---|---|
| 1 Gbps | 1 a cada 1.024 |
| 10 Gbps | 1 a cada 4.096 |
| 40 Gbps | 1 a cada 8.192 |
| 100 Gbps | 1 a cada 16.384 |
Os valores seguem a recomendação do sflow.org. Confira o limite de amostras por segundo do seu equipamento, porque um switch com muitas portas rápidas pode passar dele mesmo com taxas altas.
O intervalo dos contadores
O intervalo de 20 segundos do exemplo define de quanto em quanto tempo os contadores das interfaces vão ao coletor. Intervalos curtos dão gráficos mais finos e um pouco mais de tráfego de gerência.
Use o mesmo intervalo em todos os equipamentos, para os gráficos de interfaces diferentes serem comparáveis no mesmo painel.
Como escolher o coletor de sFlow
Há opções livres, como sflowtool e pmacct, e comerciais com detecção de ataques prontas. A escolha depende do volume de amostras e de quanto da análise você quer pronto.
- Volume: some as amostras por segundo de todos os equipamentos para dimensionar CPU e disco.
- Detecção: confira se o coletor gera alerta por destino ou se isso precisa ser montado à parte.
- Formatos: prefira um coletor que receba sFlow e IPFIX, para ter a rede inteira num só lugar.
Com o ataque visível no coletor, a resposta pode ser a configuração de RTBH, que tira o IP atacado do ar na operadora e devolve o link aos outros assinantes.
Quanto tempo guardar as amostras
Amostras brutas servem para investigar o que aconteceu nos últimos dias, como um ataque ou uma reclamação de lentidão. Para planejar capacidade, bastam totais por hora guardados por vários meses.
Separe as duas guardas no coletor e confira o disco depois do primeiro mês. [CONFIRMAR retenção adotada pelo provedor]
Alertas por destino contra DDoS
O alerta mais útil num provedor é por destino: um IP recebendo muito mais do que o normal em poucos segundos. É esse padrão que denuncia um ataque de DDoS volumétrico antes de o link encher.
Comece com limites folgados, observe uma ou duas semanas de tráfego normal e aperte aos poucos. Limite apertado demais no primeiro dia gera alertas falsos e faz a equipe ignorar os verdadeiros.
Erros comuns na implantação de sFlow
Números errados no coletor quase sempre vêm da taxa de amostragem. O resto costuma ser relógio, cobertura incompleta ou bloqueio no caminho até o coletor.
Evite
- Taxas diferentes entre equipamentos sem informar o coletor.
- Amostragem baixa demais, com o equipamento descartando amostras.
- Ativar em só uma ponta do link e contar o tráfego pela metade.
- Coletor sem NTP, com horários desencontrados.
Um firewall entre a gerência e o coletor bloqueando a porta 6343 deixa o coletor vazio, embora o switch mostre o sFlow ativo. Confira se os pacotes UDP chegam ao coletor antes de revisar a configuração do equipamento.
Sinais de taxa mal configurada
A taxa errada não gera erro na tela, só números estranhos no painel. Três sintomas apontam para ela.
- Volume muito baixo: o coletor mostra uma fração do gráfico da interface, sinal de taxa não informada.
- Volume muito alto: o enlace foi amostrado nas duas pontas ou a taxa informada é maior que a real.
- Buracos no gráfico: o equipamento descarta amostras porque a taxa é baixa demais para o modelo.
Proteja o acesso aos equipamentos
A mesma rede de gerência que leva o sFlow ao coletor precisa de controle de acesso aos equipamentos. Esse cuidado faz parte do hardening da rede, com contas individuais e registro de comandos.
Veja a implantação de TACACS+ para registrar quem entrou e o que mudou. Esse registro, junto com as amostras guardadas, ajuda a montar o histórico de um incidente de segurança.
Como validar a implantação de sFlow?
Compare o tráfego estimado pelo coletor com os contadores das interfaces e confira se todos os equipamentos aparecem. Uma variação pequena é normal, porque o sFlow trabalha com amostra.
Checklist de validação do sFlow
- O tráfego estimado bate com o gráfico da interface, com variação pequena.
- Todos os equipamentos aparecem no coletor.
- Os maiores consumidores e destinos aparecem por IP.
- Um teste de tráfego aparece em segundos.
- Nenhum equipamento informa amostras descartadas.
Se a estimativa ficar muito acima ou muito abaixo da interface, confira primeiro a taxa informada ao coletor. Amostras descartadas indicam taxa baixa demais para aquele modelo.
Exemplo: ataque visto pelos switches
Um caso típico mostra a vantagem da velocidade do sFlow. Os assinantes de um bairro reclamam de lentidão, e o gráfico do uplink do switch de agregação está no limite.
- Coletor: em poucos segundos, as amostras mostram um único IP do bairro recebendo quase todo o tráfego.
- Origem: o tráfego chega de milhares de endereços externos em UDP, padrão de ataque refletido.
- Contenção: o NOC dispara o blackhole na operadora para o IP atacado e o uplink volta ao normal.
- Registro: as amostras guardadas mostram início e fim do ataque, que vão para o registro do incidente.
O registro de incidentes de segurança é também uma das cobranças do R-Ciber aos provedores, então guardar essas evidências ajuda além da operação. [CONFIRMAR na norma]
Rotina depois da implantação
Uma implantação que ninguém revisa fica desatualizada na primeira troca de equipamento. Uma conferência mensal curta mantém o coletor confiável.
- Equipamentos novos: todo switch ou roteador instalado entra no sFlow com a taxa padrão da rede.
- Comparação: o total do coletor é conferido com os contadores das principais interfaces.
- Alertas: os limites por destino são revistos conforme o tráfego normal cresce.
Perguntas frequentes sobre sFlow
O sFlow pesa no switch?
Pouco. A amostragem é feita no hardware na maioria dos switches. Confira o limite de amostras do modelo antes de escolher taxas agressivas.
O sFlow é preciso?
Para tráfego grande, sim, e a estimativa melhora quanto mais amostras chegam. Para conversas pequenas e raras, a amostragem pode não captar.
Qual coletor usar com sFlow em provedor pequeno?
As opções livres, como sflowtool e pmacct, atendem bem uma rede pequena. Uma ferramenta comercial passa a fazer sentido quando você quer detecção de ataques pronta.
Posso usar sFlow e IPFIX juntos?
Sim. É comum sFlow nos switches e IPFIX nos roteadores de borda, num coletor que entende os dois.
O sFlow funciona em MikroTik?
Depende do modelo e da versão do RouterOS, porque o suporte varia entre as linhas de equipamento. [CONFIRMAR suporte por modelo e versão] Onde não houver sFlow, o Traffic Flow exporta fluxos no lugar.
Serviços ligados a este guia
- Solicitação de caches de CDN para provedores BGP e roteamento
- Implantação de SIEM para provedores Segurança e anti-DDoS
- Dimensionamento de capacidade de backbone para provedores Backbone e switching
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- sFlow.org, especificação sFlow versão 5: formato das amostras e contadores.
- sFlow.org, recomendações de amostragem: taxas por velocidade de interface.
- RFC 3176, InMon sFlow: descrição original do sFlow.
