【ntopng and nProbeによる高速トラフィック分析入門】第9章 トラフィック監視実践

第9章 トラフィック監視実践

本章ではいよいよntopng, nProbe２つのソフトウェアを活用したトラフィック分析方法を学びます。
先ずは本章で説明する3つのトラフィック分析パターンをみてみましょう。

文：ジュピターテクノロジー　よしひろ

注意)本記事で紹介している図をクリックすると拡大しますので、図が見づらい場合は別タブで表示する等してください。

9.1 ntopng,nProbeアーキテクチャ3パターン

1. ntopngが、ネットワーク機器のミラーポートと直接接続する方式
2. nProbeが、ネットワーク機器のミラーポートと直接接続し、トラフィック情報をローカルもしくはリモートにインストールしたntopngに伝送する方式(nProbeのプローブモードといいます)
3. xFlowエクスポート対応のネットワーク機器からnProbeがフロー受信し、ローカルもしくはリモートにインストールしたntopngに伝送する方式(nProbeのプロキシモードといいます)

こちらの3つのモードですが、それぞれ長短ありますので、以下にまとめてみました。

1. ntopng単独配置し、ミラーポートと直接接続する

単一拠点であれば、詳細な監視の実現及びコストパフォーマンスのよい構成となります。

L7分析が可能で、かつトラフィックレコーディングモジュールn2diskと連携してインデックス付きのpcapファイルをntopngサーバーのディスクに保存することができます。

ただし、複数拠点のトラフィック監視には向いておりません。

2. nProbeプローブモード
配置した機器からフロー情報をntopngにエクスポート

遠隔拠点にnProbeプロキシーモードを設定したPCを配布すれば、xFlowエクスポートに対応していないネットワーク機器が配置されている分散環境でもトラフィック分析を実現でき、かつL7分析を行うことができます。

しかし、複数拠点全てにnProbeをインストールしたデバイスを配布する必要がありますので、それなりのコストがかかります。

3. nProbeプロキシモード
遠隔拠点の既設ルーター/スイッチからxFlowを受信

例えば本社にnProbeとntopngを1インスタンスずつ配置し、遠隔拠点のルーター/スイッチからNetFlowを受信します。

既設のルーター/スイッチが、xFlowエクスポートに対応していれば一番コストがかからない構成です。

しかし、上記1,2と比較するとL7分析能力が失われます。
以降、上記3パターン実際の設定方法をご紹介します。

こちらの記事をntop製品の構築作業にお役立てください。

9.2 ntopngを単独配置し、ミラーポートと直接接続する設定

ntopngをインストールしたPCのNICにルーター/スイッチのミラーポートを直接差し込むだけです。物理構成は、非常に単純で以下の図の通りです。

nProbeを起動する必要はありません。

弊社で販売するntop製品のアプライアンスをご利用の場合は、デフォルトで本モードに対応しております。

ソフトウェアライセンスを購入した場合の設定方法をご紹介します。

ntopngの設定は非常に簡単で、-iオプションでntopngをインストールしたPCのNIC(スイッチ/ルーターのミラーポートに接続しているNIC)を指定して再起動するだけです。

$sudo vim /etc/ntopng/ntopng.conf
-i=enp3s0f1
-F=nindex
:wq!

$systemctl restart ntopng

以上で、ntopngの単独利用時の設定は完了です。

9.3 nProbeプローブモード
配置した機器からフロー情報をntopngにエクスポートする設定

nProbeプローブモードをインストールしたPCを遠隔拠点に設置し、ルーター/スイッチのミラーポートに直接差し込みます。物理構成は、以下の図の通りです。

ntopng, BlueVault io nProbe間のプロトコルは、ZeroMQを利用します。

弊社で販売するntop製品のアプライアンス(nProbe)をご利用の場合は、デフォルトで本モードに対応しております。

ソフトウェアライセンスを購入した場合の設定方法をご紹介します。

nProbeはNetFlow v5/v9, IPFIXをエクスポートすることができますが、ZeroMQ利用の方が軽量でntopngが必要な入力情報を簡単に設定することができます。

以下は、遠隔拠点の工場Aに設置したnProbeの設定です。

$sudo vim /etc/nprobe/nprobe.conf
-i=enp3s0f1
--zmq=tcp://192.168.91.128:5556
--zmq-probe-mode
-n=none
-T=@NTOPNG@
:wq!

$systemctl restart nprobe

ntopng側の設定は、ZeroMQ経由で遠隔のnProbeからフロー情報を受信する設定とします。

$suco vim /etc/ntopng/ntopng.conf
-i=tcp://*.5556c
-w=3000
--https-port=3001
-m=192.168.92.0/24
-F=nindex
:wq!
$systemctl restart ntopng

以上で、nProbeプローブモードの設定は完了です。

最後に、nProbeプロキシモードの設定方法をご紹介します。

9.4 nProbeプロキシモード
遠隔拠点の既設ルーター/スイッチからxFlowを受信する設定

nProbeとntopngを本社側に起動するだけです。

弊社で販売するntop製品のアプライアンスをご利用の場合は、デフォルトで本モードに対応しております。

以下、ソフトウェアライセンスを購入した場合の設定方法をご紹介します。物理構成は、以下の図の通りです。

以下は、本社のnProbe設定です。

nProbe側の待ち受けポートは、2055/udpを設定しております。

$sudo vim /etc/nprobe/nprobe.conf
-i=none
-n=none
--collector-port=2055
-T=@NTOPNG@
--zmq="tcp://*:5556"
:wq!

$systemctl restart nprobe

nProbeと同じサーバーで起動するntopngの設定は、以下の通りです。

$suco vim /etc/ntopng/ntopng.conf
-i=tcp://127.0.0.1.5556
--https-port=3001
-F=nindex
:wq!
$systemctl restart ntopng

以上

以上で説明は終わりです。

如何でしょうか？この3つの設定さえおさえておけば、あらゆる環境でも簡単にトラフィック可視化環境を作成できるといったイメージが持てたのではないでしょうか？

次章はこちらをご覧ください。

お問い合わせ・製品情報

本記事で扱っているntop社のnProbe, ntopng製品にご興味のある方は、以下のリンクから弊社までお問い合わせください！