NetFlow Nedir, Nasıl Çalışır? Trafiğin Kimliğini Okumak Ne İşe Yarar?

NetFlow Nedir ve Nasıl Çalışır? Hangi Verileri Toplar?

NetFlow, Cisco'nun geliştirdiği bir protokoldür ve bugün IP trafiği hakkında metadata toplamanın genel adı gibi kullanılır. Cihaz, geçen paketleri akışlara (flow) gruplar ve her akış için tek bir özet kayıt üretir. Kayıtlar toplayıcıya push edilir. Yani SNMP'deki gibi sürekli sorgulanmak yerine cihaz kendi gördüğünü kendisi bildirir.

Hat boyunca üç oyuncu var

• Exporter: Akışları üreten router, switch veya firewall.
• Collector: Kayıtları alıp depolayan sunucu (UDP üzerinden).
• Analyzer: Kayıtları top talkers, uygulama, konuşma ve trend gibi görünümlere çeviren katman. SolarWinds NTA bu rolü, collector ile birlikte üstlenir.

NetFlow nasıl çalışır?

• 1. Paket Gelir
  Flow export açık olan bir arayüzden geçen her paket, cihazın akış tablosunda (flow cache) değerlendirilir.
• 2. Akışa Eşlenir
  Kaynak/hedef IP, kaynak/hedef port ve protokol gibi anahtar alanları aynı olan paketler tek bir akışta toplanır; bayt ve paket sayaçları artar.
• 3. Akış Sona Erer
  Akış bittiğinde (örneğin TCP FIN/RST), bir süre sessiz kaldığında ya da çok uzun sürdüğünde kayıt kapatılır.
• 4. Export Edilir
  Kapanan kayıtlar, NetFlow veya IPFIX paketleri içinde UDP ile collector'a gönderilir.
• 5. Analiz Edilir
  Collector kayıtları depolar; analiz katmanı bunları top talkers, uygulama, konuşma ve trend görünümlerine çevirir.

Hangi verileri toplar?

Tek bir akış kaydı kabaca şuna benzer (değerler örnektir):

kaynak   10.20.4.15:51822   →   hedef  203.0.113.40:443    TCP (6)
hacim    1,84 GB / 1,3 M paket
zaman    23:55:12 – 00:55:12
arayüz   in: Gi0/1   out: Gi0/0   DSCP: 0

Flow protokol ailesi

• NetFlow v5 / v9: Cisco kökenli, v9 template tabanlı ve IPv6'yı da kapsar.
• IPFIX: NetFlow v9'un IETF standardı; çok üreticili ağların ortak dili.
• J-Flow, NetStream: Juniper ve Huawei'nin eşdeğerleri.
• sFlow: Cache tutmak yerine paket örnekleyerek çalışan, özellikle switch'lerde yaygın alternatif.

NetFlow Neyi Ölçmeyi Sağlar?

SNMP “hat yüzde kaç dolu” der. NetFlow aynı hattı bileşenlerine ayırır. Ölçtüğü başlıca şeyler:

NetFlow ile Ağ Performansını İzlemek Mümkün mü?

Kısmen evet; ve sınırını bilmek önemlidir. NetFlow, performansı etkileyen trafik tarafını çok iyi ölçer: hat doluluğu, tıkanıklık noktaları, hangi uygulamanın ve host'un yük bindirdiği, QoS sınıfı bazında hacim. Ancak standart akış kayıtları gecikme (latency), jitter ya da paket kaybı gibi kalite metriklerini taşımaz.

Pratikteki cevap şu: NetFlow performans izlemenin yerine geçmez, ona trafik bağlamı kazandırır. SolarWinds NTA'da bu bağlam, PerfStack ile aynı zaman aralığında diğer metriklerle yan yana görülebilir.

Hangi Problemleri Hızlı Tespit Etmeyi Sağlar?

• Gizli Yoğunluk
  Dakikalık SNMP ortalamalarının gizlediği kısa süreli yoğunlukları, o yükü hangi host ve uygulamanın yarattığıyla birlikte gösterir.
• Bilinmeyen Sebep
  Kapasite artırımı tahmine dayanmaz. İki yedekleme işi hattı dolduruyorsa çözüm hat büyütmek değil, zamanlamayı değiştirmektir.
• Gölge BT
  Bulut depolama, P2P veya şirket politikasına aykırı bir uygulama kimsenin haberi olmadan hattı işgal ediyor olabilir. Uygulama dağılımı bunu tespit eder.
• Güvenlik Sinyali
  Beklenmedik dış bağlantılar, tek kaynaktan çok sayıda porta yoklama gibi anormallikler flow kayıtlarında okunabilir.

NetFlow Destekleyen Popüler Ağ Cihazları Hangileridir?

Kurumsal sınıf router, switch ve firewall'ların çoğu flow export edebilir. Liste kapsamlı değildir; desteği model, yazılım sürümü ve lisans belirler.

NetFlow Verilerini Analiz Etmek için Hangi Yazılımlar Önerilir?

Doğru yazılım, ağınızın büyüklüğüne, bulut/on-prem tercihinize ve ekibinizin mevcut araç setine göre değişir.

SolarWinds NTA Rakiplerinden Nasıl Ayrılır?

SolarWinds NTA, flow verisini toplayıp bant genişliği analizine çeviren, SolarWinds Platform üzerinde çalışan bir üründür. Bağımsız bir ürün değildir; NPM'nin eklentisidir. Rakiplerinden şu altı noktayla ayrılır:

• Tek Platform
  Flow verisi, cihaz ve arayüz görünümlerinin yanında durur. “Hat doldu” alarmından PerfStack ile CPU korelasyonuna aynı konsolda geçersiniz.
• Uygulama Bilinci
  NBAR2 tabanlı uygulama tanıma ile trafiği “departman” veya “uygulama” diliyle okursunuz. Uygulama trafiği düştüğünde alarm alabilirsiniz.
• QoS Doğrulaması
  CBQoS pre/post-policy ve drop alarmları, politikanın gerçekten istenen sonucu üretip üretmediğini gösterir.
• Güvenli Veri
  Self-hosted çalıştığı için flow verisi sizin altyapınızda işlenir; güvenlik ve uyumluluk gereksinimlerine yardımcı olur.

Sık Sorulan Sorular