【 ここから本文 】
- TOP
- > Topics : ネットワーク機器
- >
ネットワーク機器
ソーシャルブックマークに登録 ：
印刷用ページの表示
「フロー情報」を活用したネットワーク監視・分析のメリットを知る
SNMPではわからないウイルスの侵入情報も取得可能
（2006年09月29日）
フロー統計技術
NetFlow、sFlow、IPFIX
先に、フロー・ベースのネットワーク監視・管理が最近、注目されていると述べたが、それを実現するフロー統計技術はかなり前から存在している。その例としては、シスコシステムズが開発した「NetFlow」、それに反発する形で、米国インモンが開発してシスコ以外のベンダーがサポートを進めていった「sFlow」が挙げられる（表1）。また、現在は、フロー統計技術の標準「IPFIX」の策定も進んでいる。以下、この3つの技術について説明しよう。
| 表1：フロー統計技術の分類 |
 |
NetFlow
NetFlowの特徴は、キャッシュを用いる点である。NetFlowをサポートしているルータやスイッチにトラフィックが流れると、それらの内部にはフロー情報を格納するためにテーブル（キャッシュ）が作成され、格納された情報は随時コレクタにエクスポートされる（図2）。キャッシュには、フローの送信元／送信先のIPアドレス、ポート番号、プロトコル・タイプ、データの大きさなどが記録される。
| 図2：NetFlowによるフロー情報取得の仕組み |
 |
■NetFlowのバージョン
NetFlowには複数のバージョンがある（表2）。現在最も広く使われているバージョンはV5であり、多くの機器でサポートされている。V9は比較的新しいバージョンであり、テンプレートと呼ばれるフロー情報の「設計書」 のようなものを利用することで、情報に拡張性を持たせられるようになっている。なお、IPv6を使用する場合には、V9を使用する必要がある。
| 表2：NetFlowのバージョンとその特徴 |
 |
sFlow
sFlowはNetFlowと違って、エクスポータでキャッシュにフロー情報を格納しない。sFlowをサポートしているエクスポータにトラフィックが流れると、エクスポータは1つのインタフェースから入ってきて、スイッチ／ルーティング・モジュールを経由した後に1つ以上のインタフェースから出て行くすべてのパケットを一定の割合でサンプリング（抽出）し、そのパケットの先頭の数バイト（通常は256バイト）をコレクタにエクスポートする（図3）。パケットの先頭にはフローを特定するために必要な情報（IPアドレスやポート番号）が含まれているので、コレクタは、フローに関する分析を行うことができる。
| 図3：sFlowによるフロー情報取得の仕組み |
 |
■sFlow のバージョン
NetFlowと同様、sFlowにも複数のバージョンがある（表3）。現在最も広く用いられているのはV4だが、ルータ／スイッチの中にはV5しかサポートしていないものもあるので、注意が必要だ。
| 表3：sFlowのバージョンとその特徴 |
 |
IPFIX
| 写真1：米国ジェニーNRMのアプライアンス型のコレクタ「GenieATM6000」 |
 |
上述したように、NetFlowとsFlowは共に、ベンダー色の強い技術となっている。しかし、こうした技術状況では、マルチベンダー環境のネットワークを監視・分析するのは難しい。
そこで IETFが、フロー統計技術の標準として、「IPFIX（IP Flow eXport）」の策定に取り組んでおり、その標準化作業がそろそろ終了しそうである。IPFIXの仕様はNetFlow V9をベースに作成されており、フライングではあるが、すでにIPFIXをサポートをする製品も出回り始めている。
| 画面2：オープンソース・ソフトのコレクタ「FlowScan」の操作画面 |
 |
なお、コレクタは、NetFlow対応とsFlow対応、商用とオープンソース、ソフトウェアとアプライアンスといった具合に、さまざまなカテゴリーによって分類できる（写真1、画面2）。表4、5に主要なコレクタをまとめたので、参考にされたい。ほかにもオープンソースのコレクタが存在するので、興味がある方は、スイスのネットワーク技術研究団体であるSWITCHのWebページを参照していただきたい。
| 表4：商用の主要なコレクタ |
 |
| 表5：オープンソース・ソフトの主要なコレクタ |
 |
