Resumen

La vista de NetFlow en Network Device Monitoring proporciona visibilidad sobre los flujos de tráfico de red recopilados de dispositivos que exportan datos de flujo (por ejemplo, enrutadores, cortafuegos o conmutadores). Puede analizar el volumen de tráfico, identificar los principales emisores y comprender cómo se mueve la información a través de su red.

La vista de NetFlow muestra métricas de tráfico agregadas por dispositivo e interfaz. Úselo para identificar qué dispositivos o interfaces están consumiendo más ancho de banda, generando más paquetes o contribuyendo a picos de tráfico.

Navegación lateral

Utilice la navegación de la izquierda para explorar vistas adicionales de NetFlow:

• Volumen de tráfico: Métricas de flujo generales por dispositivo e interfaz.
• Salud del dispositivo: Estado y utilización de los dispositivos monitoreados.
• Flujos: Registros de flujo individuales detallados.
• Conversaciones: Pares de origen-destino agregados.
• Sistemas autónomos: Datos de flujo agrupados por Números de Sistemas Autónomos (ASNs).
• Geo IP: Datos de flujo agrupados por origen/destino geográfico.
• Puertos de origen / Puertos de destino / Protocolos / Banderas: Desglose del tráfico por metadatos de paquetes.

Instalación

Para utilizar NetFlow Monitoring con Network Device Monitoring, asegúrese de estar utilizando la versión 7.45 o más reciente del Agent.

Nota: Configurar la recolección de métricas de Network Device Monitoring no es un requisito para enviar datos de NetFlow, aunque se recomienda encarecidamente, ya que estos datos adicionales pueden utilizarse para enriquecer sus registros de flujo con información como el nombre del dispositivo, modelo y proveedor, así como el nombre de la interfaz de entrada/salida.

Configuración

Para configurar sus dispositivos para enviar tráfico de NetFlow, jFlow, sFlow o IPFIX al servidor NetFlow del Agent, sus dispositivos deben estar configurados para enviar tráfico a la dirección IP en la que está instalado el Datadog Agent, específicamente a flow_type y port.

1. Edite su archivo de configuración del datadog.yaml Agent para habilitar NetFlow:

network_devices:
  netflow:
    enabled: true
    listeners:
      - flow_type: netflow9   # choices: netflow5, netflow9, ipfix, sflow5
        port: 2055            # devices need to be configured to the same port number
      - flow_type: netflow5
        port: 2056
      - flow_type: ipfix
        port: 4739
      - flow_type: sflow5
        port: 6343
    ## Set to true to enable reverse DNS enrichment of private source and destination IP addresses in NetFlow records
    reverse_dns_enrichment_enabled: false

2. Después de guardar sus cambios, reinicie el Agent.

   Nota: Asegúrese de que sus reglas de firewall permitan el tráfico UDP entrante en los puertos configurados.

Agregación

El Datadog Agent agrega automáticamente los datos recibidos en NetFlow para limitar el número de registros enviados a la plataforma mientras mantiene la mayor parte de la información. Por defecto, las grabaciones de flujo que tienen los mismos identificadores, como source, destination address, port y protocol, se agregan juntas en intervalos de cinco minutos. Además, el Datadog Agent puede detectar puertos efímeros y eliminarlos. Como resultado, puede ver Flujos con port:*.

Enriquecimiento

Sus datos de NetFlow son procesados por el backend de Datadog y enriquecidos con los metadatos disponibles de sus dispositivos e interfaces. El enriquecimiento se basa en la IP del exportador de NetFlow y los índices de interfaz. Para desambiguar posibles colisiones entre IPs privadas reutilizadas, puede configurar un namespace diferente para cada archivo de configuración del Agent (con la configuración network_devices.namespace).

Si la IP del exportador de NetFlow es una de las IPs del dispositivo, pero no la que está configurada en la integración SNMP, Datadog intenta localizar el dispositivo al que pertenece la IP del exportador y enriquece sus datos de NetFlow con ella siempre que la coincidencia sea única.

Enriquecimiento de IP del proveedor de la nube

Datadog enriquece las IPs con el servicio y la región del proveedor de nube pública para direcciones IPv4, de modo que pueda filtrar los registros de flujo de un servicio y región específicos.

Enriquecimiento de puertos

Datadog enriquece los puertos en NetFlow con datos de IANA (Autoridad de Números Asignados de Internet) para resolver asignaciones de puertos bien conocidos (como Postgres en 5432 y HTTPS en 443).

Enriquecimiento de puerto personalizado

También puede agregar sus propios enriquecimientos personalizados para mapear puertos y protocolos a aplicaciones específicas (por ejemplo, si un servicio personalizado se ejecuta en un puerto específico). Esto facilita a los ingenieros de red y sus equipos interpretar y consultar los datos de NetFlow con nombres legibles para humanos.

Desde la pestaña Configuración en NetFlow, haga clic en + Agregar Enriquecimiento para subir el archivo CSV que contiene sus enriquecimientos personalizados.

Enriquecimiento de IP personalizado

También puede agregar sus propios enriquecimientos personalizados para mapear IPs y CIDRs a etiquetas personalizadas (por ejemplo, para categorizar servicios que se ejecutan en direcciones IP específicas). Esto facilita a los ingenieros de red y sus equipos interpretar y consultar los datos de NetFlow con nombres legibles para humanos.

Desde la página de configuración de Enriquecimiento, haga clic en + Agregar Enriquecimiento para agregar mapeos manualmente o subir un archivo CSV para agregar mapeos en bloque.

Enriquecimiento de IP privada de DNS inverso

Habilite el enriquecimiento de IP privada de DNS inverso para realizar búsquedas DNS de nombres de host asociados con direcciones IP de origen o destino. Cuando está habilitado, el Datadog Agent realiza búsquedas DNS inversas en las IPs de origen y destino dentro de rangos de direcciones privadas, enriqueciendo los registros de NetFlow con los nombres de host correspondientes.

Por defecto, el enriquecimiento de IP de DNS inverso en su archivo datadog.yaml está deshabilitado. Para habilitar, consulte la sección Configuración de esta página.

Busque DNS en el menú + Filtro para localizar flujos asociados con el enriquecimiento de IP de DNS inverso:

Nota: Las entradas de DNS inverso se almacenan en caché y están sujetas a limitaciones de tasa para minimizar las consultas DNS y reducir la carga en los servidores DNS. Para más opciones de configuración, incluyendo la modificación de la caché predeterminada y la limitación de tasa, consulte el archivo de configuración completo.

Detalles de IP

En la vista de Conversaciones, puede ver la dirección IP pública de la IP de destino. Pase el cursor sobre la IP para mostrar metadatos enriquecidos sobre la IP y un enlace a Ver Conexiones de Red Relacionadas donde puede inspeccionar la conectividad con más detalle.

Diagrama de flujo

Puede visualizar los flujos en NetFlow Monitoring haciendo clic en el menú Flujos y pasando el cursor sobre un flujo de la lista para ver información adicional sobre la IP de origen, el nombre de la interfaz de entrada, el nombre del dispositivo y la IP de destino a través de conexiones de red relacionadas.

Monitor de NetFlow

Haga clic en el ícono Crear Monitor desde cualquiera de las vistas para crear un NetFlow monitor. Al crear el monitor, considere los siguientes campos con respecto a la IP de origen o la IP de destino desde la perspectiva del dispositivo. Estos campos proporcionan información sobre los patrones de tráfico de red y ayudan a optimizar el rendimiento y la seguridad.

Información de interfaz

Los siguientes campos representan detalles sobre las interfaces de entrada y salida.

Información del dispositivo

Los siguientes campos representan detalles relacionados con el dispositivo que genera registros de NetFlow.

Detalles del flujo

Los siguientes campos representan características del flujo de red.

Además de los campos, también puede utilizar facetas listas para usar para comenzar a analizar patrones de tráfico basados en las direcciones IP de destino y origen de NetFlow.

Facetas de IP de destino de NetFlow

Facetas de IP de origen de NetFlow

Unificación de conversaciones

Por defecto, NetFlow registra flujos unidireccionales separados para cada dirección de tráfico entre dos puntos de conexión (A → B y B → A). La unificación de conversaciones combina estos en un solo registro bidireccional, brindando una vista completa del tráfico total intercambiado entre dos puntos de conexión (A ↔ B).

Con la unificación de conversaciones, puede:

• Ver el tráfico total intercambiado entre dos puntos de conexión como una sola conversación en lugar de flujos direccionales separados
• Identificar verdaderos iniciadores y respondedores para que los widgets de fuente y destino reflejen roles precisos
• Eliminar ruido donde los servidores aparecen incorrectamente como principales fuentes

Para alternar entre vistas unificadas (bidireccionales) y no unificadas (unidireccionales), navegue a cualquier vista de NetFlow basada en puntos de conexión y utilice el interruptor Bidireccional bajo el selector de tiempo.

Tasa de muestreo

La tasa de muestreo de NetFlow se toma en cuenta en el cálculo de bytes y paquetes por defecto. Los valores mostrados para bytes y paquetes se calculan con la tasa de muestreo aplicada. Además, puede consultar Bytes (Ajustados) (@adjusted_bytes) y Paquetes (Ajustados) (@adjusted_packets) en tableros y notebooks para visualizarlos.

Para visualizar los bytes/paquetes crudos (muestreados) enviados por sus dispositivos, puede consultar Bytes (Muestreados) (@bytes) y Paquetes (Muestreados) (@packets) en tableros y notebooks.

Retención

Los datos de NetFlow se retienen durante 30 días por defecto, con opciones para retención de 15, 30, 60 y 90 días.

Limitar el volumen de flujo por intervalo de descarga

Para controlar el volumen de NetFlow y los costos asociados, configure Agent para limitar el número de registros de flujo enviados por intervalo de descarga. El intervalo de descarga es el período durante el cual los flujos se agregan antes de ser enviados a Datadog.

Cuando este límite está habilitado, Agent retiene solo los flujos principales por conteo de bytes hasta el máximo configurado, y descarta flujos de menor volumen para ese intervalo de descarga.

Configuración

Nota: Requiere la versión de Agent 7.75.1 o posterior.

Configure lo siguiente en su datadog.yaml:

network_devices:
  netflow:
    enabled: true
    aggregator_max_flows_per_flush_interval: 10000

Con esta configuración, Agent envía como máximo 10,000 registros de NetFlow por intervalo de descarga (5 minutos por defecto). Agent prioriza los flujos de mayor volumen y descarta el resto.

Estimando el volumen diario

Su conteo máximo aproximado de flujo diario es:

max_flows_per_flush_interval * (minutes_per_day / flush_interval_minutes)

Por ejemplo, con 10,000 flujos por descarga y un intervalo de descarga de 5 minutos:

10,000 * (1440 / 5) = 2,880,000 flows/day

Comportamiento esperado

• Se priorizan los principales generadores de tráfico: Esto es lo mejor para flujos de trabajo enfocados en tráfico de alto volumen (por ejemplo, impulsores de ancho de banda y enlaces ruidosos).
• Visibilidad reducida para flujos de bajo volumen: Los pares de origen/destino de menor tráfico pueden no aparecer cuando se alcanza el límite.
• Comportamiento por Agent: El límite se aplica a cada Agent de manera independiente. Si múltiples Agents ven tráfico para las mismas conversaciones, no se agregan globalmente antes de la truncación.

Monitoreo de truncación

Cuando se habilita la limitación de flujo, Agent emite métricas que puede usar para entender cuánto dato se está manteniendo frente a lo que se está descartando:

• ndm.flow_truncation.flows_total
• ndm.flow_truncation.flows_kept
• ndm.flow_truncation.flows_dropped
• ndm.flow_truncation.keep_ratio
• ndm.flow_truncation.threshold_value
• ndm.flow_truncation.runtime_ms

Utilice estas métricas para validar su límite elegido y para detectar cuándo la truncación está ocurriendo con frecuencia (lo que puede indicar que debe ajustar el límite o el intervalo de descarga).

Solución de problemas

Caídas de paquetes de NetFlow

Las caídas de paquetes de NetFlow pueden ocurrir cuando hay un alto número de paquetes de NetFlow por segundo, típicamente mayor a 50,000. Los siguientes pasos pueden ayudar a identificar y mitigar las caídas de paquetes de NetFlow:

Identificación de caídas de paquetes

Utilice el comando netstat -s para ver si hay paquetes UDP descartados:

    netstat -s

Mitigation steps

1. Increase the Number of NetFlow Listeners

Increase the number of NetFlow listeners by using a configuration similar to the following: Datadog recommends setting the number of workers to match the number of CPU cores in your system:

      netflow:
        enabled: true
        listeners:
          - flow_type: netflow9
            port: 2055
            workers: 4 # 4 CPUs

2. Aumentar la longitud de la cola UDP (solo Linux)

Ajustar la longitud de la cola UDP de su sistema puede ayudar a acomodar el mayor volumen de paquetes NetFlow. Aumente el tamaño del búfer de recepción UDP a 25 MB ejecutando los siguientes comandos:

    sudo sysctl -w net.core.rmem_max=26214400
    sudo sysctl -w net.core.rmem_default=26214400

3. Persistiendo la configuración (solo Linux)

Para hacer estos cambios permanentes, agregue las siguientes líneas a su archivo /etc/sysctl.conf:

    net.core.rmem_max=26214400
    net.core.rmem_default=26214400

Lectura adicional

Más enlaces, artículos y documentación útiles:

Uso de perfiles con Network Device MonitoringDOCUMENTACIÓN Monitorear datos de tráfico NetFlow con DatadogBLOG Monitorear y diagnosticar problemas de rendimiento de red con SNMP TrapsBLOG