Sam travaille comme analyste de réseau pour une société de trading algorithmique. Il a obtenu son baccalauréat en technologie de l’information de l’UMKC.
Comprendre la quantité et le type de trafic passant par un périphérique réseau est très utile pour résoudre les problèmes de réseau, localiser les gros consommateurs de bande passante et classer le trafic.
NetFlow est un protocole qui permet aux périphériques réseau de transmettre des informations sur les données qui le traversent à un analyseur fonctionnant à un emplacement distant sur le réseau.
Ces données contiennent plusieurs informations, notamment l’adresse IP source et de destination, les protocoles utilisés et les numéros de port.
pfflowd permet à un système pfSense d’exporter des messages d’état PF dans un format NetFlow standard.
En rendant ces données disponibles dans un format standard, vous pouvez tirer parti des nombreux analyseurs NetFlow différents disponibles.
Installation du paquet pfflowd
Pour commencer à exporter des données NetFlow à partir de pfSense, vous devez d’abord installer le package pfflowd. Le package peut être installé en accédant au gestionnaire de packages qui se trouve dans le menu système.
Localisez le package pfflowd et cliquez sur le bouton du symbole plus à côté de celui-ci pour commencer l’installation.
Configuration de pfflowd
Une fois l’installation terminée, le package doit être configuré. La page de configuration de pfflow se trouve dans le menu des services de l’interface Web.
héberger – Saisissez l’adresse IP de l’ordinateur sur lequel vous souhaitez recevoir les données de trafic NetFlow. Il s’agit de l’emplacement à partir duquel vous souhaitez exécuter le client de l’analyseur NetFlow.
Porto –Ce paramètre contrôle le port UDP de destination pour les datagrammes NetFlow. La plupart des clients utilisent le port 2205 par défaut, donc dans la plupart des cas, c’est ce que vous devez entrer.
Nom d’hôte/IP source –Ce paramètre contrôle l’interface que le système pfSense utilisera pour envoyer les paquets NetFlow. Habituellement, vous voudrez entrer l’adresse IP de l’interface LAN de la boîte pfSense. Vous pouvez trouver l’IP dans le menu status/interfaces.
pfSense Rule Direction Restriction – Laissez cet ensemble sur n’importe lequel pour capturer le trafic dans les deux sens. Si vous le souhaitez, vous pouvez capturer une seule direction de trafic.
Version NetFlow – La plupart des clients doivent prendre en charge la version 9. Si votre analyseur NetFlow ne prend en charge qu’une version plus ancienne, vous pouvez le configurer avec ce paramètre.
Une fois que vous avez enregistré les paramètres, pfflow commencera à envoyer des paquets NetFlow à l’adresse IP de destination spécifiée dans les paramètres.
Faites défiler pour continuer
Activation de SNMP
La plupart des clients NetFlow utilisent SNMP pour confirmer la connectivité à un hôte, je recommande donc de l’activer avant de démarrer un client analyseur.
La modification de la configuration ouvre la page des paramètres dans la page services/SNMP.
1. Cochez la case ‘Activer’ pour activer le service SNMP.
2. Définissez une chaîne de communauté en lecture seule. Il s’agit essentiellement d’un mot de passe utilisé pour accéder à pfSense via SNMP.
3. Cliquez sur Enregistrer pour appliquer les modifications.
Affichage des données NetFlow
À ce stade, pfSense est configuré pour diffuser les données NetFlow en temps réel vers l’adresse IP que vous avez configurée précédemment.
Plusieurs analyseurs NetFlow sont disponibles. SolarWinds propose un analyseur de flux en temps réel gratuit qui fait très bien ce travail.
Après avoir téléchargé et installé l’analyseur SolarWinds, cliquez sur le menu Outils, puis sélectionnez Ajouter un appareil NetFlow.
Entrez l’adresse IP de la machine pfSense exécutant pfflowd et la chaîne de communauté SNMP qui correspond à la chaîne sur le système.
Sélection de l’interface de capture
Si l’étape précédente a réussi, vous devriez voir une liste des interfaces attachées au système pfSense exécutant pfflowd.
Pour commencer une session de capture de flux, sélectionnez l’interface qui vous intéresse et cliquez sur le bouton Démarrer la capture de flux.
Dans la plupart des cas, vous souhaiterez probablement capturer des données à partir de l’interface LAN, mais dans certaines situations, les données WAN sont également utiles.
Vous pouvez trouver les noms d’interface associés aux interfaces LAN et WAN dans le menu status/interfaces.
Analyse de données NetFlow
Une fois la capture commencée, l’analyseur commencera à afficher les données du trafic passant par pfSense sur l’interface que vous avez sélectionnée.
L’analyseur SolarWinds peut décomposer le trafic en applications, conversations, domaines, points de terminaison et protocoles. La capture peut également être enregistrée et téléchargée pour une analyse ultérieure.
Creuser plus profond
Espérons que cet article vous a ouvert les yeux sur les nombreuses utilisations des données pfflowd et NetFlow. NetFlow n’exporte pas l’intégralité du paquet, ce qui en fait un mauvais choix pour résoudre des problèmes de réseau très complexes.
Si vous avez besoin de capturer des trames Ethernet complètes, vous pouvez exécuter Wireshark directement à partir de pfSense ainsi que télécharger des captures pour une analyse hors ligne.
Cet article est exact et fidèle au meilleur de la connaissance de l’auteur. Le contenu est uniquement à des fins d’information ou de divertissement et ne remplace pas un conseil personnel ou un conseil professionnel en matière commerciale, financière, juridique ou technique.
© 2013 Sam Kear
héros le 01 janvier 2018 :
Pfsense 2.4.1 Fonctionne très bien avec ManageEngine Netflow
c’est gratuit?????
ratanak le 15 décembre 2017 :
Pfsense 2.4.1 Fonctionne très bien avec ManageEngine Netflow
escargot le 22 novembre 2015 :
merci pour l’article. J’ai essayé de le suivre sur pfsense 2.2.5 et il n’a pas pfflowd mais softflowd. j’ai essayé de le configurer mais quand je commence à capturer dans l’analyseur en temps réel sur n’importe quelle interface, il est indiqué que netflow n’est pas activé ..
pouvez-vous s’il vous plaît mettre à jour l’article vers pfsense 2.2.5 ?
voici mon fil sur les forums pfsense à ce sujet.
https://forum.pfsense.org/index.php?topic=102831.m…
eno le 01 juillet 2014 :
Message utile – Merci pour le partage !
