Привет, ЛОР.
Появились вопросы по поводу sFlow, надеюсь здесь на них смогут ответить.
Преамбула:
Я участвую в разработке Netflow/IPFIX коллектора https://github.com/vmxdev/xenoeye
Недавно человек из интернета попросил нас добавить в коллектор поддержку sFlow. Мы этот sFlow не использовали, технология выглядит не очень интересно. Плюс его надо снимать с коммутаторов, люди которые занимаются непосредственно сетью говорят что им это геморойно.
Тем не менее, почитал документацию, добавил поддержку семплированых фловов (это когда sFlow-агент посылает коллектору куски некоторых пакетов, первые несколько десятков/сотен байт). Так как добавлялось это уже в готовый netflow-коллектор, сделали очень просто: из сырого пакета выбираются поля, которые могли бы быть в netflow (IP адреса, TCP/UDP порты, TCP флаги, тип ICMP и т.п.) и дальше обрабатывается как будто это флов из netflow со своей частотой семплирования.
Насколько я понимаю, *flow-коллекторы (по крайней мере известные) делают приблизительно так же, и не парсят остальной кусок пейлоада пакета.
Но, даже из небольшого кусочка теоретически можно получить какую-то дополнительную и полезную информацию:
- Флаги из DNS (например, бит рекурсии). Можно увидеть криво настроенный DNS-сервер, который может участвовать в DDoS атаке с DNS-амплификацией
- Такие же криво настроенные NTP-сервера
- Если прилетает кусок пакета достаточного размера, можно брать из DNS и HTTPS SNI имена ресурсов и составлять «карту хостинга»: для IP-адресов будут известны дополнительно их имена. Это, возможно, не очень этично, но если вы хостер и видите что кто-то хостит у вас домен с именем «s6erbank.ru», это может вызвать некоторые вопросы
- возможно, в куске пакета можно найти признаки каких-то еще атак на сервисы, например медленных DoS атак
Да, конечно, это все (и даже больше) можно получить со SPAN/зеркала трафика/оптического разветвителя, но предположим что это не всегда возможно.
Собственно вопросы к сетевым специалистам:
- Пользуетесь ли вы sFlow? Это живая или умирающая технология?
- Если пользуетесь, какую информацию вы из него берете? sFlow может экспортировать как кусочки пакетов, так и некоторые счетчики (in/out по портам, например). Вы пользуетесь этими счетчиками или вам проще снимать те же данные с помощью SNMP?
- Может ли ваш sFlow-коллектор/анализатор обрабатывать дополнительные данные из sFlow? Если да, то какие именно? Можете дать ссылку на документацию или вообще на какие-то статьи где об этом можно почитать?
