[Cisco NetFlow] Wel packets geen flows

[Verwijderd]

Voor een groot netwerk wil ik Cisco NetFlow implemneteren. Deze wordt op de 2 border gateway routers geconfigureerd. Deze zijn gekoppeld aan twee verschillende ISP's. Men wil de verschillende AS paden monitoren voor een gestructureerde keuze van een ISP. NetFlow is als volgt geconfigureerd op de BGP Routers:

Building configuration...

Current configuration : 1167 bytes
Last configuration change at 13:52:48 UTC Fri Feb 24 2006
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
hostname Amsterdam
boot-start-marker
boot-end-marker
no aaa new-model
ip subnet-zero
ip name-server x.x.x.x
ip cef
interface Loopback0
ip address x.x.x.x x.x.x.x
interface FastEthernet0/0
ip address x.x.x.x x.x.x.x
ip route-cache flow
duplex auto
speed auto
interface FastEthernet0/1
ip address x.x.x.x x.x.x.x
ip route-cache flow
duplex auto
speed auto
router bgp 65000
no synchronization
bgp log-neighbor-changes
network x.x.x.x
network x.x.x.x
neighbor x.x.x.x remote-as xxxxx
no auto-summary
ip classless
ip flow-export source Loopback0
ip flow-export version 9
ip flow-export destination x.x.x.x
no ip http server
gatekeeper
shutdown
line con 0
stopbits 1
line aux 0
line vty 0 4
end

Deze configuratie is bijna uniek aan de andere BGP Router. Op de andere BGP Router heb ik hetzelfde probleem.

Als ik een sh ip cache flow uitvoer krijg ik de volgende output:

IP packet size distribution (6337 total packets):
1-32 64 96 128 160 192 224 256 288 320 352 384 416 448 480
.000 .421 .022 .062 .017 .009 .004 .009 .004 .004 .005 .005 .004 .011 .007

512 544 576 1024 1536 2048 2560 3072 3584 4096 4608
.011 .006 .005 .038 .347 .000 .000 .000 .000 .000 .000

IP Flow Switching Cache, 4456704 bytes
0 active, 65536 inactive, 808 added
11656 ager polls, 0 flow alloc failures
Active flows timeout in 30 minutes
Inactive flows timeout in 15 seconds
IP Sub Flow Cache, 270472 bytes
0 active, 16384 inactive, 807 added, 807 added to flow
0 alloc failures, 0 force free
1 chunk, 1 chunk added
last clearing of statistics never
Protocol Total Flows Packets Bytes Packets Active(Sec) Idle(Sec)
-------- Flows /Sec /Flow /Pkt /Sec /Flow /Flow
TCP-WWW 418 0.0 11 753 0.0 2.4 4.5
TCP-X 1 0.0 1 40 0.0 0.0 15.7
TCP-other 128 0.0 2 48 0.0 1.4 15.2
UDP-DNS 11 0.0 7 66 0.0 3.1 15.6
UDP-other 185 0.0 3 154 0.0 4.2 15.5
ICMP 65 0.0 5 68 0.0 9.8 15.4
Total: 808 0.0 7 612 0.0 3.2 9.8

SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts


Het probleem is dat ik geen flows krijg te zien bij de laatste regel. Heb al een teststation achter de BGP Router verkeer laten genereren. Maar heeft niet mogen baten. Het Vreemde is dat ie wel de packets voorbij ziet gaan. Ook krijgt de flowcollector zijn UDP packets binnen.

Wie weet raad?

[JackBol]

zet je output ff tussen [ code] tags, dat is makkelijker te lezen...

code:

zo :)

[Mikey!]

De onderste regel is voor de flows die op dat moment, of een korte tijd geleden zijn gezien. Deze entries in die lijst worden weggehaald als de flow inactief is voor een x aantal seconden (Default is volgens mij 15 seconden).

Ik weet niet hoe snel je hebt gekeken naar de output van show ip cache flow na het generen van het verkeer?

[Verwijderd]

Daar kun je best wel eens gelijk in hebben. Aangezien ik de data genereer in het testlab. en er niet bij ben om het show commando uit te voeren tijdens het genereren van de data. ik ga weer eens verder met testen. Ik houd jullie op de hoogte

[Verwijderd]

Het was inderdaad de oplossing. bedankt.

[Verwijderd]

Verwijderd schreef op vrijdag 03 maart 2006 @ 11:34:
Het was inderdaad de oplossing. bedankt.

Als je voeldoende resources in je router hebt kun je deze tijd van 15s inactivity oprekken.

router(config)#ip flow-cache timeout inactive ?
<10-600> Timeout in seconds

maar het mooiste is natuurlijk exporteren naar een net flow analyzer. Dan kun je de verbindingen en volumes naderhand in een mooi grafiekje bekijken.

[ Voor 21% gewijzigd door Verwijderd op 03-03-2006 16:44 ]

[Mikey!]

Verwijderd schreef op vrijdag 03 maart 2006 @ 16:43:
maar het mooiste is natuurlijk exporteren naar een net flow analyzer. Dan kun je de verbindingen en volumes naderhand in een mooi grafiekje bekijken.

Dat is inderdaad een mooiere oplossing als het bekijken van de flows in het IOS zelf! Als je geïnteresseerd bent in zo'n oplossing dan kan je hier gratis software vinden