Leider sind mir die Bilder aus diesem Artikel verloren gegangen!
OmniVista 2500 (z.B. das aktuelle Release 4.6R2) verfügt über einen sFlow Collector. Die Daten werden gesammelt und grafisch aufbereitet. Die folgenden Schritte zeigen wie die Übermittlung von sFlow eingerichtet wird.
Es steht außerdem auch „Top N Ports“ zur Verfügung!
Router-> show configuration snapshot pmm ! Port Mirroring: sflow receiver 1 name ovAnalyticService address 192.168.2.15 udp-port 6343 packet-size 1400 version 5 timeout 0 sflow sampler 1 port 1/1/1-12 receiver 1 rate 128 sample-hdr-size 128
InMon sFlow-RT ermöglicht die schnelle Analyse von Daten und auch die Entwicklung eigener Applikationen/Erweiterungen auf Basis der Software.
Bitte beachten dass sFlow-RT zwar für Testzwecke mit einer „Research and Evaluation“-Lizenz verwendet werden kann, für den produktiven Einsatz aber lizensiert werden muss! Vielen Dank an das Team von Peter Phaal das der Test so unproblematisch möglich ist!
benny@tiger:~/sflow$ ./sflow-rt/get-app.sh sflow-rt browse-flows
benny@tiger:~/sflow$ ./sflow-rt/start.sh 2022-05-25T15:45:05+02:00 INFO: Starting sFlow-RT 3.0-1665 2022-05-25T15:45:06+02:00 INFO: Version check, running latest 2022-05-25T15:45:06+02:00 INFO: Listening, sFlow port 6343 2022-05-25T15:45:06+02:00 INFO: Listening, HTTP port 8008 2022-05-25T15:45:06+02:00 INFO: app/world-map/scripts/countries.js started 2022-05-25T15:45:06+02:00 INFO: app/topology/scripts/topology.js started 2022-05-25T15:45:06+02:00 INFO: app/ddos-protect/scripts/ddos.js started 2022-05-25T15:45:06+02:00 INFO: app/browse-flows/scripts/top.js started 2022-05-25T15:45:06+02:00 INFO: app/particle/scripts/flows.js started
Router-> show configuration snapshot pmm ! Port Mirroring: sflow receiver 1 name ovAnalyticService address 192.168.2.15 udp-port 6343 packet-size 1400 version 5 timeout 0 sflow receiver 2 name tiger address 192.168.2.134 udp-port 6343 packet-size 1400 version 5 timeout 0 sflow sampler 1 port 1/1/1-12 receiver 1 rate 128 sample-hdr-size 128 sflow sampler 2 port 1/1/1-12 receiver 2 rate 128 sample-hdr-size 128
ip service source-ip "vlan-2" sflow
Der „Angreifer“ hat also die IP-Adresse 192.168.2.134!
Bei Beendung des konstruierten Angriffs fallen auch die Kurven so schnell wie sie anstiegen (in Sekunden). Aus meiner Sicht gehört sFlow bzw. sFlow-Tools aufgrund des Einblicks in Echtzeit zum Handwerkszeug eines jeden Netzwerkadministrierenden.