O que é NetFlow e como funciona: explicação para provedores
O que é NetFlow: é um recurso do roteador que resume o tráfego em conversas, os fluxos, e envia esse resumo a um servidor chamado coletor. Cada registro diz quem falou com quem, por qual porta, com qual protocolo e quanto, sem guardar o conteúdo dos pacotes.
Resumo
- O NetFlow funciona como uma conta telefônica detalhada da rede, com origem, destino, duração e volume de cada conversa.
- O roteador guarda os fluxos num cache, encerra cada um por tempo ou por fim da conexão e exporta os registros por UDP.
- O gráfico de interface mostra que o link encheu; os fluxos mostram com o quê, de onde e para qual IP.
- A falta de fluxos vira problema no primeiro ataque, na primeira reclamação de abuso ou na hora de decidir capacidade.
O que é NetFlow, em linguagem de provedor
NetFlow é a forma de o roteador contar a você o que passa por ele, conversa por conversa. Ele não copia o tráfego; anota quem conversou, por onde e quanto.
A comparação mais útil é com a conta telefônica detalhada. Ela não grava o que foi dito, mas lista cada ligação com número de origem, número de destino, horário, duração e custo. O NetFlow faz o mesmo com o tráfego IP: cada linha é uma conversa entre dois endereços, com portas, protocolo, pacotes e bytes.
O recurso nasceu na Cisco e o nome virou sinônimo de exportação de fluxos em qualquer marca, mesmo quando o formato real é IPFIX, Traffic Flow do MikroTik ou outro parecido. Na prática, quando um provedor fala em ligar o NetFlow, quer dizer dar à borda um registro de conversas, que é a base da análise de fluxos com NetFlow.
O que conta como um fluxo
Um fluxo é o conjunto de pacotes que têm os mesmos campos-chave dentro de um intervalo de tempo. No formato clássico, a chave tem sete campos, e qualquer diferença entre eles cria um fluxo novo.
- Endereços: IP de origem e IP de destino.
- Portas: porta de origem e porta de destino, quando o protocolo tem porta.
- Protocolo: TCP, UDP, ICMP ou outro.
- Classe de serviço: o campo de prioridade do cabeçalho IP.
- Interface de entrada: por onde o pacote chegou ao roteador.
Por isso um único acesso a um site gera vários fluxos: um para cada sentido da conversa e um para cada conexão que o navegador abre.
NetFlow não lê o que o assinante acessa
O registro mostra endereços e portas, não páginas, mensagens ou arquivos. Ainda assim, ligar um IP a um padrão de uso é dado pessoal, e o acesso aos fluxos precisa de regra e de tempo de guarda definido [CONFIRMAR na norma].
Atrás do CGNAT, o registro da borda mostra o IP público e a porta, não o assinante. Para chegar a ele, os fluxos precisam ser cruzados com os logs de CGNAT.
Como funciona o NetFlow, do pacote ao painel
O roteador agrupa os pacotes em fluxos num cache, encerra cada fluxo por tempo ou por fim de conexão e envia o registro por UDP ao coletor. O coletor guarda, soma e transforma os registros em gráficos e alertas.
1 · Roteador
Pacotes viram fluxos
Cada pacote é comparado com a chave. Se já existe fluxo igual, só os contadores sobem; se não, nasce um fluxo novo no cache.
2 · Cache
O fluxo é encerrado
O fluxo sai do cache quando a conexão termina, quando fica parado ou quando passa do tempo máximo ativo.
3 · Exportação
Registro enviado por UDP
Os registros encerrados vão em pacotes UDP para o endereço e a porta do coletor, pela rede de gerência.
4 · Coletor
Dados viram respostas
O coletor guarda os registros, soma por IP, porta e rede de destino e dispara alerta quando algo foge do padrão.
O roteador não espera o coletor responder. Se o coletor estiver fora do ar, os registros daquele período se perdem, por isso ele merece o mesmo cuidado de qualquer servidor da rede.
Repare que o atraso entre o tráfego e o painel depende sobretudo do passo 2. Um fluxo longo, como um download grande, só aparece no coletor quando o tempo máximo ativo vence e o roteador manda um registro parcial.
Os dois tempos que decidem quando o fluxo sai
O tempo inativo encerra o fluxo que ficou sem pacotes por alguns segundos. O tempo ativo encerra, de tempos em tempos, o fluxo que continua recebendo pacotes, para o coletor não ficar no escuro durante conversas longas.
Para enxergar ataque rápido, o tempo ativo costuma ficar em um minuto ou menos [CONFIRMAR no manual do equipamento]. Valores altos economizam registros, mas atrasam o alerta.
Amostragem, ou contar um pacote em cada N
Em links com muito tráfego, o roteador pode olhar só um pacote em cada N e multiplicar o resultado. Isso alivia a CPU e quase não muda a visão de ataques grandes, mas esconde conversas muito pequenas.
O coletor precisa saber qual N foi usado; do contrário, todos os volumes aparecem divididos por ele. É um dos motivos mais comuns de painel com números absurdamente baixos.
O que um registro de NetFlow mostra e o que não mostra
O registro mostra a conversa: endereços, portas, protocolo, horário, pacotes e bytes. Não mostra o conteúdo, nem o estado da interface, nem o assinante atrás do CGNAT.
O exemplo abaixo mostra três registros como costumam aparecer num coletor de código aberto. O primeiro é um vídeo chegando a um assinante; os outros dois são respostas de NTP de servidores diferentes para o mesmo IP, um sinal que merece atenção quando se repete aos milhares.
Início Duração Proto Origem:Porta Destino:Porta Pacotes Bytes
2026-11-03 20:14:07.512 59.880 TCP 198.51.100.77:443 -> 203.0.113.45:51544 1520 2.1 M
2026-11-03 20:14:09.031 0.000 UDP 192.0.2.10:123 -> 203.0.113.45:40112 1 468
2026-11-03 20:14:09.044 0.000 UDP 192.0.2.211:123 -> 203.0.113.45:40112 1 468| Ferramenta | O que responde | Limite |
|---|---|---|
| SNMP da interface | Quanto tráfego passou e quando | Não diz de onde veio nem para qual IP foi |
| NetFlow e parecidos | Quem conversou com quem, por qual porta e quanto | Não mostra o conteúdo e depende de coletor |
| Captura de pacotes | O conteúdo exato de cada pacote | Pesada demais para ficar ligada na borda o tempo todo |
Quer ver de que é feito o tráfego da sua borda?
Na implantação de análise de fluxos, um Especialista liga a exportação um roteador por vez, mede a CPU e entrega painéis por IP, operadora e rede de destino.
Por que um não substitui o outro
O SNMP é o termômetro: avisa que a febre subiu. O NetFlow é o exame que diz a causa, e a captura de pacotes é a biópsia, usada em casos pontuais.
Por isso o monitoramento de interfaces continua necessário mesmo depois dos fluxos. Os dois juntos permitem conferir se o volume do coletor bate com o da porta, que é o primeiro teste de qualquer implantação.
Quando a falta de NetFlow vira problema?
A falta de fluxos quase nunca incomoda no dia a dia; ela aparece de uma vez, no primeiro incidente sério. A partir daí, cada minuto sem saber o alvo ou a origem custa assinantes.
Marque o que já aconteceu no seu provedor
- O link de trânsito lotou e a equipe levou mais de meia hora para descobrir qual IP era o alvo.
- Outra rede reclamou de tráfego saindo do seu bloco e ninguém conseguiu achar a origem.
- A decisão de contratar mais banda foi tomada só olhando o gráfico total do link.
- Ninguém sabe dizer quanto do tráfego vai para as grandes plataformas de vídeo.
- O provedor quer entrar no IX.br ou receber um cache, mas não tem números para justificar.
Uma marca já indica que o gráfico de interface deixou de bastar. Duas ou mais mostram que a rede cresceu além do que dá para administrar sem saber de que é feito o tráfego.
O caso mais comum é o ataque. O guia sobre como identificar DDoS mostra a diferença entre procurar o alvo com fluxos e sem eles, e por que a segunda forma costuma deixar a cidade lenta por muito mais tempo. Para o uso semanal, fora do ataque, veja o guia de NetFlow na prática.
Erros comuns de quem acha que já tem NetFlow
Muitos provedores ligaram a exportação um dia e nunca conferiram o que chega ao coletor. Os erros abaixo deixam o painel bonito e os números inúteis.
Evite
- Exportação ligada para um coletor que foi desligado meses atrás.
- Fluxos só da entrada, que escondem assinante atacando para fora.
- Formato antigo que não carrega IPv6, deixando parte do tráfego invisível.
- Coletor sem saber a taxa de amostragem usada no roteador.
- Relógio do roteador sem NTP, com horários que não batem com outros registros.
O primeiro erro é mais comum do que parece. O roteador continua exportando para um endereço que não responde, gasta CPU com isso e ninguém percebe até o dia em que precisa dos dados.
A Táquion Tech confere esses pontos antes de ligar qualquer painel: compara o volume do coletor com o contador da interface, roteador por roteador, e só depois configura os alertas.
NetFlow, IPFIX ou sFlow, precisa decidir agora?
Não para entender o conceito: os três entregam a mesma ideia de enxergar conversas, com detalhes diferentes. A escolha segue o que cada equipamento faz bem.
Nos roteadores de borda, o caminho usual é o descrito na implantação de IPFIX; nos switches, o que aparece na implantação de sFlow.
Perguntas frequentes
Como funciona NetFlow em roteador MikroTik?
No RouterOS, o recurso se chama Traffic Flow e exporta nos formatos 5, 9 e IPFIX. A lógica é a mesma: o roteador monta os fluxos, encerra por tempo e envia ao coletor configurado como alvo.
NetFlow mostra os sites que o assinante acessa?
Mostra os endereços IP e as portas, não as páginas. Dá para saber que houve tráfego para uma rede de vídeo, mas não qual vídeo nem qual página foi aberta.
NetFlow substitui o monitoramento por SNMP?
Não. O SNMP diz quanto passou em cada interface e se o equipamento está de pé; o NetFlow diz de que é feito esse tráfego. Os dois se completam.
O coletor de NetFlow precisa ser um servidor potente?
Depende de quantos fluxos por segundo chegam e por quanto tempo os dados ficam guardados. Para um provedor regional, muitas vezes basta uma máquina virtual com bom disco [CONFIRMAR com o tráfego real].
Ligar o NetFlow deixa a internet mais lenta?
Não para o assinante, porque o roteador só observa e resume o tráfego. O cuidado é com a CPU do roteador em tráfego alto, resolvido com amostragem e medição na hora de ligar.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 3954, Cisco Systems NetFlow Services Export Version 9: formato de exportação do NetFlow versão 9, com modelos e campos.
- NetFlow (Wikipédia em inglês): origem do recurso, campos-chave do fluxo e formatos derivados.
