「フロー情報」を活用したネットワーク監視・分析のメリットを知る

SNMPではわからないウイルスの侵入情報も取得可能

（2006年09月29日）

フロー統計技術
NetFlow、sFlow、IPFIX

　先に、フロー・ベースのネットワーク監視・管理が最近、注目されていると述べたが、それを実現するフロー統計技術はかなり前から存在している。その例としては、シスコシステムズが開発した「NetFlow」、それに反発する形で、米国インモンが開発してシスコ以外のベンダーがサポートを進めていった「sFlow」が挙げられる（表1）。また、現在は、フロー統計技術の標準「IPFIX」の策定も進んでいる。以下、この3つの技術について説明しよう。

表1：フロー統計技術の分類

NetFlow

　NetFlowの特徴は、キャッシュを用いる点である。NetFlowをサポートしているルータやスイッチにトラフィックが流れると、それらの内部にはフロー情報を格納するためにテーブル（キャッシュ）が作成され、格納された情報は随時コレクタにエクスポートされる（図2）。キャッシュには、フローの送信元／送信先のIPアドレス、ポート番号、プロトコル・タイプ、データの大きさなどが記録される。

図2：NetFlowによるフロー情報取得の仕組み

■NetFlowのバージョン

　NetFlowには複数のバージョンがある（表2）。現在最も広く使われているバージョンはV5であり、多くの機器でサポートされている。V9は比較的新しいバージョンであり、テンプレートと呼ばれるフロー情報の「設計書」のようなものを利用することで、情報に拡張性を持たせられるようになっている。なお、IPv6を使用する場合には、V9を使用する必要がある。

表2：NetFlowのバージョンとその特徴

sFlow

　sFlowはNetFlowと違って、エクスポータでキャッシュにフロー情報を格納しない。sFlowをサポートしているエクスポータにトラフィックが流れると、エクスポータは1つのインタフェースから入ってきて、スイッチ／ルーティング・モジュールを経由した後に1つ以上のインタフェースから出て行くすべてのパケットを一定の割合でサンプリング（抽出）し、そのパケットの先頭の数バイト（通常は256バイト）をコレクタにエクスポートする（図3）。パケットの先頭にはフローを特定するために必要な情報（IPアドレスやポート番号）が含まれているので、コレクタは、フローに関する分析を行うことができる。

図3：sFlowによるフロー情報取得の仕組み

■sFlow のバージョン

　NetFlowと同様、sFlowにも複数のバージョンがある（表3）。現在最も広く用いられているのはV4だが、ルータ／スイッチの中にはV5しかサポートしていないものもあるので、注意が必要だ。

表3：sFlowのバージョンとその特徴

IPFIX

写真1：米国ジェニーNRMのアプライアンス型のコレクタ「GenieATM6000」

　上述したように、NetFlowとsFlowは共に、ベンダー色の強い技術となっている。しかし、こうした技術状況では、マルチベンダー環境のネットワークを監視・分析するのは難しい。

　そこで IETFが、フロー統計技術の標準として、「IPFIX（IP Flow eXport）」の策定に取り組んでおり、その標準化作業がそろそろ終了しそうである。IPFIXの仕様はNetFlow V9をベースに作成されており、フライングではあるが、すでにIPFIXをサポートをする製品も出回り始めている。

画面2：オープンソース・ソフトのコレクタ「FlowScan」の操作画面

　なお、コレクタは、NetFlow対応とsFlow対応、商用とオープンソース、ソフトウェアとアプライアンスといった具合に、さまざまなカテゴリーによって分類できる（写真1、画面2）。表4、5に主要なコレクタをまとめたので、参考にされたい。ほかにもオープンソースのコレクタが存在するので、興味がある方は、スイスのネットワーク技術研究団体であるSWITCHのWebページを参照していただきたい。

表4：商用の主要なコレクタ