Como usar NetFlow no provedor: tráfego, ataque e abuso na prática
NetFlow como usar: ligue a exportação nas interfaces de borda, confira se o volume do coletor bate com o da porta e passe a fazer perguntas concretas aos fluxos, como qual IP mais recebe, para quais redes vai o tráfego e quem manda coisa estranha para fora. O valor está nessas perguntas feitas toda semana, não no painel aberto só no dia do ataque.
Resumo
- Comece pelas perguntas que o provedor precisa responder, e só depois monte os painéis do coletor.
- No MikroTik, a exportação se chama Traffic Flow e liga em poucas linhas, apontando para o coletor.
- As consultas mais úteis no dia a dia são maiores destinos, tráfego por rede de destino e saída suspeita dos assinantes.
- Durante um ataque, os fluxos dizem o alvo e o tipo, o que decide entre blackhole e filtro.
NetFlow como usar: comece pelas perguntas, não pelo painel
Usar NetFlow é fazer perguntas ao tráfego e tomar decisões com as respostas. Quem liga a exportação sem saber o que quer perguntar acaba com um coletor cheio e nenhuma decisão tomada.
Se a ideia de fluxo ainda não está clara, o guia sobre o que é NetFlow explica como o roteador resume as conversas. Aqui o foco é o passo seguinte: o que fazer com esses resumos numa semana normal de provedor.
| Pergunta | Onde olhar nos fluxos | Decisão que sai daí |
|---|---|---|
| Qual IP está recebendo mais agora? | Maiores destinos por bytes e por pacotes | Achar o alvo de um ataque ou um cliente fora do padrão |
| Para quais redes vai o tráfego? | Soma por sistema autônomo de destino | Pedir porta no IX.br ou um cache de conteúdo |
| Quanto entra por cada operadora? | Soma por interface de entrada | Rever contrato e capacidade de cada trânsito |
| Algum assinante manda coisa estranha? | Saída por porta e por número de destinos | Bloquear spam, varredura ou equipamento infectado |
| O ataque é de quê? | Protocolo e porta de origem do tráfego para o alvo | Escolher entre blackhole e filtro |
Essas perguntas são o roteiro de uma análise de fluxos com NetFlow bem montada: cada linha da tabela vira um painel ou um alerta. Sem elas, o coletor fica parecendo um gráfico de interface mais caro.
Como ligar a exportação no MikroTik e conferir o coletor
No MikroTik, a exportação liga no menu Traffic Flow, com as interfaces de borda e um alvo apontando para o coletor. Antes de usar os números, confira se o volume que chega ao coletor bate com o da interface.
/ip traffic-flow set enabled=yes interfaces=sfp-sfpplus1,sfp-sfpplus2 \
active-flow-timeout=1m inactive-flow-timeout=15s
/ip traffic-flow target add dst-address=198.51.100.20 port=2055 version=ipfix
/ip traffic-flow print
/ip traffic-flow target printAs interfaces da lista são as de trânsito e de ponto de troca, por onde o tráfego de fora entra. Para roteadores Cisco e para os detalhes de modelo e amostragem, o guia de implantação de IPFIX mostra a configuração completa.
O primeiro teste antes de confiar nos números
Escolha uma hora de movimento e compare o total do coletor com o gráfico da mesma interface no monitoramento. Se a diferença for grande, quase sempre é amostragem não informada ou um sentido do tráfego faltando.
Só depois desse teste vale montar alertas. Alerta construído em cima de número errado dispara à toa ou, pior, não dispara no dia do ataque.
Consultas do dia a dia para usar o NetFlow
Três consultas cobrem a maior parte do uso semanal: tráfego por rede de destino, divisão por operadora e saída suspeita dos assinantes. O bloco abaixo usa o nfdump, coletor de código aberto, com blocos de documentação.
# Para quais sistemas autônomos vai o tráfego no pico da noite
nfdump -R /var/cache/nfdump -t 2026/11/03.19:00-2026/11/03.23:00 -s dstas/bytes -n 15
# Quanto entrou por cada interface de borda (uma por operadora)
nfdump -R /var/cache/nfdump -t 2026/11/03.19:00-2026/11/03.23:00 -s inif/bytes
# Assinantes enviando para a porta 25 (possível spam saindo da rede)
nfdump -R /var/cache/nfdump -s srcip/flows -n 10 'src net 203.0.113.0/24 and dst port 25'
# Quem abre conexões para muitos destinos sem resposta (possível varredura)
nfdump -R /var/cache/nfdump -s srcip/flows -n 10 'src net 203.0.113.0/24 and flags S and not flags A'A soma por sistema autônomo só funciona quando o roteador exporta esse campo ou quando o coletor o completa a partir da tabela de rotas [CONFIRMAR suporte no coletor]. Sem ele, a mesma pergunta pode ser respondida agrupando por prefixo de destino.
Prefere receber os painéis prontos?
Na implantação de análise de fluxos, um Especialista monta os painéis para as perguntas do seu provedor, ajusta os alertas e treina a equipe nas consultas.
Como usar NetFlow para decidir IX.br e cache
A consulta por sistema autônomo de destino mostra quanto do pico vai para cada grande rede. Se uma fatia grande vai para redes presentes no ponto de troca, a conexão ao IX.br tende a tirar esse volume do trânsito pago.
O mesmo raciocínio vale para cache de conteúdo: o número que importa é quanto daquela plataforma passa pela sua borda no horário de pico. Sem fluxos, essa conta vira palpite.
Saída suspeita dos assinantes
Um assinante mandando milhares de conexões para a porta 25 quase sempre é computador infectado enviando spam. É o tipo de coisa que leva o bloco do provedor para listas de bloqueio e afeta todos os outros clientes.
Atrás do CGNAT, os fluxos da borda mostram o IP público e a porta; o assinante aparece cruzando com os logs de CGNAT. Com isso, o atendimento fala com a pessoa certa em vez de bloquear um IP inteiro.
Como usar NetFlow durante um ataque?
Durante um ataque, os fluxos respondem três coisas na ordem: qual IP é o alvo, que tipo de tráfego chega e por quais operadoras. Com isso, a equipe decide em minutos entre descartar o IP ou filtrar o tipo de tráfego.
- Alvo: maiores destinos por bytes e por pacotes nos últimos minutos, comparados com a mesma hora do dia anterior.
- Tipo: protocolo e porta de origem do tráfego para o alvo; respostas de NTP, DNS ou memcached apontam para ataque refletido.
- Entrada: soma por interface de entrada, para saber se o ataque vem por uma operadora ou por todas.
- Decisão: alvo único que pode ficar fora vai para o blackhole; ataque a muitos IPs pede filtro por tipo de tráfego.
Quando o alvo pode ficar fora do ar por alguns minutos, a configuração de RTBH descarta o tráfego na operadora e salva o resto da base. O passo a passo completo de leitura do ataque está no guia sobre como identificar DDoS.
Por que olhar os fluxos antes do ataque
No dia do ataque, só reconhece o anormal quem sabe como é o normal. Uma olhada semanal nos maiores destinos e no peso de cada protocolo cria essa referência sem esforço.
A equipe que já usa o coletor na rotina acha o alvo muito mais depressa, porque sabe onde clicar e o que esperar de cada painel.
Na prática: a primeira semana usando NetFlow
Um caso típico mostra o que aparece quando um provedor regional começa a olhar os fluxos. Nenhum dos achados abaixo estava visível no gráfico de interface.
- Segunda-feira: o teste de volume mostra o coletor com um décimo do tráfego real; a taxa de amostragem não estava configurada no coletor.
- Terça-feira: corrigido o número, a soma por rede de destino mostra que boa parte do pico vai para poucas plataformas de vídeo.
- Quarta-feira: a soma por interface revela que uma das operadoras carrega quase todo o tráfego, e a outra fica ociosa.
- Quinta-feira: a consulta de porta 25 encontra um IP público com conexões de saída constantes; o cruzamento com o CGNAT chega a um assinante.
- Sexta-feira: a equipe define três painéis fixos e um alerta por destino para a semana seguinte.
O ganho da semana não foi um painel bonito, e sim três decisões: rever o equilíbrio entre as operadoras, levar os números de vídeo para a conversa sobre o IX.br e tratar o assinante infectado antes da reclamação de outra rede.
Erros comuns de quem começa a usar NetFlow
Os erros de quem está começando quase nunca são de configuração; são de uso. O coletor existe, mas não responde às perguntas certas ou ninguém o abre.
Evite
- Montar dezenas de painéis no primeiro dia e não usar nenhum.
- Abrir o coletor só no dia do ataque, sem referência do normal.
- Confiar nos volumes sem o teste de comparação com a interface.
- Bloquear um IP público inteiro atrás do CGNAT sem achar o assinante.
- Deixar o coletor aberto para a rede toda, sendo que ele mostra quem conversa com quem.
O último erro é de segurança. Os fluxos revelam o comportamento da rede inteira, e o coletor deve aceitar acesso só da rede de gerência e das pessoas que realmente consultam os painéis.
Quando vale chamar um Especialista?
Vale quando os números do coletor não batem com os da interface, quando a borda mistura marcas e formatos ou quando a equipe não tem tempo de transformar os fluxos em painéis e alertas.
A Táquion Tech configura a exportação um roteador por vez, mede a CPU antes e depois, monta o coletor num servidor do provedor e treina a equipe com consultas como as deste guia.
Perguntas frequentes
Dá para usar NetFlow sem pagar licença de coletor?
Dá. Coletores de código aberto como o nfdump recebem NetFlow e IPFIX e respondem às consultas deste guia. Os comerciais trazem painéis prontos, mas a escolha depende do volume e do orçamento.
Quanto tempo o tráfego leva para aparecer no coletor?
Depende dos tempos de expiração configurados no roteador. Com tempo ativo de um minuto, o tráfego aparece com cerca de um minuto de atraso, mais o tempo de processamento do coletor.
Como usar NetFlow para achar quem consome mais banda?
Ordene os maiores destinos por bytes no horário de pico, olhando os IPs dos seus blocos. Atrás do CGNAT, cruze o IP público e a porta com os logs para chegar ao assinante.
Preciso exportar NetFlow em todos os roteadores?
Não para começar. As interfaces de trânsito e de ponto de troca da borda já mostram ataques e consumo; os roteadores internos entram depois, se houver pergunta que só eles respondem.
Os números do NetFlow servem para negociar com a operadora?
Servem como base, porque mostram quanto tráfego entra por cada operadora e para quais redes ele vai. Na negociação, eles ajudam a pedir capacidade onde o volume realmente está.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- nfdump, repositório oficial do projeto: coletor de código aberto usado nas consultas de exemplo.
- Documentação oficial do RouterOS (MikroTik): menu Traffic Flow e opções de alvo e tempos de expiração.
- RFC 7011, IPFIX Protocol Specification: formato de exportação usado no exemplo do MikroTik.
