اداة تحليل البيانات NetFlow

اداة تحليل البيانات NetFlow

تمكن هذه الاداة من تحليل نوع البيانات المتنقلة عبر أجهزة الشبكة، لتتيح لمدير الشبكة (network administrator) امكانية معرفة توزيع أنواع البيانات والبروتوكولات التي تنتقل بين أطراف الشبكة، وايضا امكانية التعرف على الأخطار التي تتعرض لها الشبكة ومعرفة مصادرها وأنواعها، بالاضافة للقدرة على تتبع تدفق البيانات لبروتوكول معين من بروتوكولات TCP/IP.

من الفوائد المهمة لاستخدام هذه الاداة معرفة اسباب وجود بطء بالشبكة ومعرفة البروتوكولات المتسببة في نقاط الازدحام (Bottleneck)، هذا بالاضافة لبناء تصور للحاجة لاعادة تصميم الشبكة (network redesign) والتخطيط المستقبلي للشبكة (network planning) اعتمادا على حجم البيانات لكل نوع من أنواع البروتوكولات التي توفرها أداة (NetFlow).

عند تشغيل هذه الأداة على أجهزة الشبكة (Layer 3 devices)، يقوم الجهاز بمراقبة البيانات المارة منه وجمع المعلومات الاحصائية لكل مسار (session) من مسارات تدفق البيانات. بحيث باحصاء حجم البيانات لكل مسار ومن ثم ارسال المعلومات الاحصائية الخاصة بكل مسار لجهاز خادم يقوم بتخزين المعلومات المرسلة من جهاز الشبكة. يقوم جهاز الشبكة بافراد كل مسار على حدى، أذ أن المسار الواحد يتصف بوجود نفس الخصائص المتعلقة بالمتغيرات التالية:

• عنوان المصدر (Source IP address)
• عنوان المقصد (Destination IP address)
• رقم المنفذ جهة المصدر (Source port number)
• رقم المنفذ جهة المقصد (Destination port number)
• نوع البروتوكول (Layer 3 protocol type)
• قيمة (Type of Service)

ففي حال تشابهت هذه القيم جميعها على البيانات المنتقلة عبر جهاز الشبكة فإنها تتبع لنفس المسار (session)، وفي حال اختلاف احداها فهذا يعني اختلاف المسار.

تشغيل NetFlow على الراوتر

لتشغيل أداة (NetFlow) على الراوتر يتم من خلال:

• تحديد الاعدادات المتعلقة بجهاز الخادم الخاص بتجميع المعلومات الاحصائية (NetFlow Collector) من حيث العنوان (IP address) ورقم المنفذ (port number)      :

R1(config)# ip flow-export destination 10.1.10.100 99

• تحديد رقم النسخة (version number):

R1(config)# ip flow-export version 9

•  تحديد مدخل جهاز الشبكة (interface number) بحيث يستخدم (interface IP address) ليكون عنوان المصدر (source IP address) للبيانات المرسلة لجهاز الخادم:

R1(config)# ip flow-export source loopback 0

• تفعيل هذه الأداة على مدخل او مداخل جهاز الشبكة لتتم مراقبة البيانات المارة عبر هذه المداخل وجمع الاحصاءات لمسارات البيانات:

R1(config)# interface fastethernet0/0

R1(config-if)# ip flow ingress

R1(config-if)# ip flow egress

اداة Access Control List

ACL هي من الأدوات المهمة التي تمكن الراوتر أو أجهزة الشبكة من صنف (layer 3 devices) من السيطرة على البيانات المارة عبر أجهزة الشبكة، وذلك من خلال عمل Packets Filtering أو Packet Identification على هذه البيانات.

تتيح Packet Filtering للراوتر من منع أو السماح لبيانات معينة من المرور باتجاه مقصدها (destination) بناءً على شروط (conditions) معينة. أما Packet Identification فهي تعطي للراوتر امكانية التعرف (الاهتمام) ببيانات تنطبق عليها شروط معينة (conditions) من أجل إجراء تغييرات محددة على هذه البيانات مثل تغيير ال (source IP address) كما يحصل في عملية ال (NAT).

إنشاء ACL على أجهزة سيسكو يتم من خلال اضافة جمل (statements) داخل ال ACL والتي تكون بمثابة الشروط (conditions) التي تستهدف بيانات تنطبق عليها واحدة من تلك الشروط . إذ يمكن أن تشمل ال (ACL) الواحدة على عدة شروط (conditions)، يقوم الراوتر عند مرور بيانات من خلاله بمعاينة الشروط المذكورة في ال (ACL) والتحقق من انطباق أي شرط من هذه الشروط على البيانات، بحيث تكون معاينة الشروط تباعا ابتداءً من الشرط الأول المذكور في ال (ACL)، ثم الانتقال للشرط الثاني في حال لم ينطبق الأول، ثم الانتقال للشرط الثالث في لم ينطبق الثاني وهكذا، إلى أن تنتهي معاينة جميع الشروط. عند انطباق أياً من الشروط المذكورة يتم تطبيق النتيجة إما بالسماح (permit) للبيانات بالمرور أو بمنعها (deny) وذلك حسبما هو مذكور في الجملة (statement) التي واقفت الشرط. في حال لم ينطبق أي من الشروط على البيانات المارة من الراوتر يقوم الراوتر باغفال (discard) هذه البيانات، تماشيا مع القاعدة المنع الضمنية (implicit deny) أي منع البيانات التي لم ينطبق عليها أي شرط من الشروط المذكورة في ال (ACL).

مثال:

access-list 1 permit host 10.1.1.1

access-list 1 deny 10.1.1.0 0.0.0.255

access-list 1 permit 10.0.0.0 0.255.255.255

 في المثال السابق تم انشاء (ACL) تحمل الرقم (1) وتحتوي على 3 شروط  (conditions) الشرط الأول يحمل السماح للبيانات القادمة من المصدر (10.1.1.1)، أما الشرط الثاني يمنع مرور البيانات التي مصدرها اي عنصر من عناصر شبكة (10.1.1.0/24)، والشرط الثالث يسمح بمرور البيانات القادمة من شبكة (10.0.0.0/8). وبالتالي فإن البيانات التي لا ينطبق عليها أياَ من الشروط المذكورة سابقا فإنها لن يسمح لها بالمرور، لأنه ضمنيا يكون حكمها بعدم المرور كتنفيذ لقاعدة (implicit deny). في حال مرور بيانات مصدرها (10.1.1.10) من الراوتر، يقوم الراوتر بتنفيذ بنود (ACL) عليها، وكون الشرط الأول لا ينطبق على هذه البيانات، سينتقل لمعاينة الشرط الثاني وكون هذا الشرط ينطبق على هذه البيانات سيقوم الراوتر بتنفيذ أمر المنع حسب مقتضى الجملة (statement) الثانية، وهنا لن يكمل الراوتر باقي الجمل (statements) في ال (ACL). لذلك فإن ترتيب ال (statement) داخل ال (ACL) مهم جدا.

هناك عدة أنواع للـ (ACLs) أهمها (standard ACL) والتي تركز على  مصدر البيانات (source address) كتلك المذكورة في المثال السابق والتي تكون شروطها قائمة على مصدر البيانات.

وايضا هناك (extended ACL) والتي تركز على عدة جوانب مثل (source address)، (destination address)، نوع البروتوكول (IP, ICMP, IGMP, ARP)، ارقام المنافذ (source port number, destination port number) الموجودة على البيانات المارة بجهاز الراوتر او أجهزة (layer 3).