“İnternet çok yavaş” şikâyeti geldiğinde ilk bakılan yer genellikle hattın doluluk grafiğidir. Grafik yüzde doksanı gösteriyorsa hat gerçekten doludur. Ama asıl soru cevapsız kalır: Neyle dolu? Bir yedekleme görevi mi, güncelleme indiren bilgisayarlar mı, yoksa gece yarısı dışarıya veri gönderen bir makine mi? NetFlow bu sorunun cevabını veren teknolojidir. Bu yazıda NetFlow’un ne olduğunu, sürümlerini, neyi gösterip neyi göstermediğini ve kurulumda nelere dikkat etmeniz gerektiğini anlatıyoruz. Genel izleme yaklaşımımız için ağ ve sunucu izleme sayfamıza bakabilirsiniz.
NetFlow nedir?
NetFlow, Cisco’nun geliştirdiği bir trafik özeti çıkarma yöntemidir. Yönlendirici, anahtar ya da güvenlik duvarı, üzerinden geçen paketleri “akış” adı verilen gruplara ayırır ve her akışın özetini bir toplayıcıya gönderir. NetFlow sürüm 9’u tanımlayan RFC 3954, akışı şöyle tanımlar: bir ağ cihazından geçen, ortak özelliklere sahip, tek yönlü paket dizisi.
Pratikte ortak özellikler şunlardır: kaynak ve hedef IP adresi, kaynak ve hedef port, protokol ve trafiğin girdiği arayüz. Bu alanları aynı olan paketler aynı akışa sayılır. Akış kaydına paket ve bayt sayısı, başlangıç ve bitiş zamanı eklenir. Böylece “192.168.10.25 adresli bilgisayar, 14:02 ile 14:20 arasında şu sunucudan HTTPS üzerinden 3 GB veri indirdi” gibi bir bilgi ortaya çıkar.
Nasıl çalışır? Üç rol
- Dışa aktarıcı (exporter): Akışları oluşturan ve kayıtları gönderen ağ cihazıdır. Genellikle internet çıkışındaki güvenlik duvarı ya da çekirdek anahtardır.
- Toplayıcı (collector): Kayıtları alan, ayrıştıran ve saklayan yazılımdır. Kayıtlar ağ üzerinden, genellikle UDP ile gönderilir.
- Analiz aracı: Toplanan veriyi okunur raporlara çevirir: en çok trafik yapan kullanıcılar, uygulamalar, hedefler ve zaman içindeki değişim. NetFlow Analyzer gibi ürünlerde toplayıcı ve analiz aracı bir aradadır.
Cihaz her paketi kopyalayıp göndermez; yalnızca akış özetlerini gönderir. Bu yüzden NetFlow, tüm trafiği kaydetmekten çok daha az depolama ve bant genişliği gerektirir.
NetFlow, IPFIX, sFlow: hangisi ne?
“NetFlow” kelimesi çoğu zaman akış tabanlı izlemenin genel adı olarak kullanılır. Oysa birkaç farklı format vardır:
| Format | Kısaca |
|---|---|
| NetFlow v5 | Uzun yıllar yaygın kullanılan, alanları sabit eski format. Yalnızca IPv4 akışlarını taşır. |
| NetFlow v9 | Şablon (template) tabanlıdır; yeni alanlar kayıt formatı değiştirilmeden eklenebilir. RFC 3954 ile belgelenmiştir. |
| IPFIX | NetFlow v9 temel alınarak IETF tarafından geliştirilen standart. RFC 7011 ile tanımlanır ve sürüm numarası NetFlow v9’un bir üstüdür. |
| sFlow | Akış kaydı tutmak yerine paketlerden örnek alır ve arayüz sayaçlarını periyodik olarak gönderir. RFC 3176 ile belgelenmiştir. |
| J-Flow ve diğerleri | Bazı üreticilerin NetFlow’a benzer kendi uygulamalarıdır. |
Farklı markalardan oluşan bir ağda bu formatların hepsi aynı anda bulunabilir. Bu yüzden toplayıcının birden fazla formatı okuyabilmesi önemlidir. Örneğin Fortinet’in belgelerine göre FortiGate hem NetFlow hem sFlow dışa aktarımını destekler.
NetFlow neyi gösterir, neyi göstermez?
NetFlow’u SNMP ile karşılaştırmak farkı netleştirir:
| SNMP | NetFlow | |
|---|---|---|
| Cevapladığı soru | Arayüz ne kadar dolu, cihaz sağlıklı mı? | Arayüzü kim, hangi uygulamayla, kiminle doldurdu? |
| Veri türü | Sayaçlar ve durum bilgisi | Konuşma bazında trafik özeti |
| Tipik kullanım | Erişilebilirlik, kaynak kullanımı, uyarı | Bant genişliği analizi, kapasite planlama, anormal trafik tespiti |
İkisi birbirinin alternatifi değil, tamamlayıcısıdır. SNMP’nin temel kavramlarını ve güvenli kullanımını SNMP ile ağ izleme yazımızda anlattık.
NetFlow’un göstermediği şey ise içeriktir. Akış kaydı bir kullanıcının bir web sunucusuyla ne kadar veri alışverişi yaptığını gösterir; hangi sayfayı okuduğunu, e-postada ne yazdığını ya da hangi dosyayı gönderdiğini göstermez. İçerik düzeyinde denetim güvenlik duvarının ve veri kaybı önleme araçlarının işidir.
Ne işe yarar? Gerçek senaryolar
- Öğle saatinde yavaşlayan hat: Rapor, bir sunucunun yedekleme görevinin mesai içinde buluta veri gönderdiğini gösterir. Görev gece saatine alınır, hat büyütülmez.
- Şubeden gelen ERP şikâyeti: Şube hattının, misafir Wi-Fi’dan gelen video trafiğiyle dolduğu görülür. Misafir ağına bant sınırı konur.
- Olağan dışı dış bağlantı: Mesai dışında tanımadığınız bir hedefe büyük miktarda veri gönderen bir bilgisayar fark edilir. Bu, zararlı yazılım ya da veri sızıntısının erken bir işareti olabilir.
- Kapasite kararı: Aylarca birikmiş veri, hattın gerçekten büyütülmesi gerekip gerekmediğini ve hangi uygulamanın büyüdüğünü gösterir.
- Güvenlik olayı incelemesi: Bir bilgisayarda zararlı yazılım bulunduğunda, akış kayıtlarına geriye dönük bakarak o bilgisayarın hangi iç sunuculara ve dış adreslere bağlandığını görebilirsiniz. Olayın ne kadar yayıldığını anlamak için değerli bir kaynaktır.
- Bulut uygulamalarının payı: E-posta, dosya paylaşımı ve görüntülü toplantı gibi bulut hizmetlerinin hattınızın ne kadarını kullandığı görünür hâle gelir. Yeni bir hizmete geçmeden önce ve sonra ölçüm yapmak, kapasite tartışmasını somutlaştırır.
- Hizmet kalitesi doğrulaması: Ses ve ERP trafiğine verdiğiniz önceliğin gerçekten çalışıp çalışmadığı görülür.
Kurulumda dikkat edilecekler
- Doğru noktayı seçin. İnternet trafiği için internet çıkışındaki güvenlik duvarı, şubeler arası trafik için çekirdek anahtar ya da SD-WAN cihazı mantıklı dışa aktarım noktalarıdır.
- Aynı trafiği iki kez saymayın. Aynı akış birden fazla cihazdan ya da hem giriş hem çıkış yönünde dışa aktarılırsa raporlar şişer. Hangi arayüzde, hangi yönde toplanacağını baştan planlayın.
- Cihaz yükünü düşünün. Akış dışa aktarımı cihaza iş yükü ekler. Yoğun cihazlarda örnekleme kullanmak ya da izlenen arayüzleri sınırlamak gerekebilir.
- Zaman eşitlemesi yapın. Cihazların ve toplayıcının saatleri NTP ile eşitlenmezse akış zamanları anlamını yitirir.
- Toplayıcıya erişimi sınırlayın. NetFlow v9 kendi içinde şifreleme ya da kimlik doğrulama sunmaz. Akış verisini yönetim ağı üzerinden taşıyın ve toplayıcıya yalnızca dışa aktarıcıların ulaşmasına izin verin.
- Saklama süresini planlayın. Ham veri hızlı büyür. Ne kadar süre ham, ne kadar süre özetlenmiş veri tutulacağını disk kapasitesine göre belirleyin.
Bir not: Kullanıcı bazlı trafik raporları kişisel veri içerebilir. Raporlara kimin erişeceğini sınırlayın ve bu verinin işlenmesini güncel mevzuata göre hukuk danışmanınızla birlikte değerlendirin. Konunun çerçevesi için ISO 27001 ve KVKK sayfamıza bakabilirsiniz.
Nereden başlamalı?
İlk adım küçüktür: İnternet çıkışındaki cihazda akış dışa aktarımını açmak ve birkaç hafta veri toplamak. Bu kısa süre bile çoğu işletmede hattı neyin doldurduğuna dair sürprizler çıkarır. Sonra şubeler, çekirdek anahtar ve uygulama grupları eklenir.
Unna olarak önce hatlarınızı ve kullanıcıların en çok şikâyet ettiği yavaşlıkları dinleriz. Hangi cihazlardan akış verisi alınacağını birlikte planlar, FortiGate ve anahtarlarınızda dışa aktarımı açar, NetFlow Analyzer ile raporları ihtiyacınıza göre düzenleriz. Arayüzün dolduğunu söyleyen OpManager ile neyle dolduğunu gösteren NetFlow Analyzer’ı birlikte kullandığınızda sorunun hem varlığını hem sebebini aynı yerden görürsünüz. Güvenlik duvarı kayıtlarını da bu tabloya eklemek isterseniz Firewall Analyzer doğal bir tamamlayıcıdır. Başlamak için bize yazın.
