Коллектор flow-tools

Flow-tools — набор утилит для отправки, сбора, обработки, анализа данных NetFlow. Установка коллектора производится командой yum install flow-tools. Для установки больше ничего не требуется, далее будет описана настройка коллектора (порты, автозапуск).

Пример содержимого файла с конфигурацией /etc/sysconfig/flow-capture:

# Change the source IP and port to what is used on your network
#OPTIONS="-n 287 -N 0 -w /var/flow-tools -S 5 0/0/8818"

OPTIONS_9996="-E 80G -w /usr/local/PLATEX/converters/spool/netflow/1.1.1.1:9996 -n 23 -N 0 -S 10 0/0/9996"
OPTIONS_9997="-E 20G -w /usr/local/PLATEX/converters/spool/netflow/2.2.2.2:9997 -n 23 -N 0 -S 10 0/0/9997"
OPTIONS_9998="-E 20G -w /usr/local/PLATEX/converters/spool/netflow/3.3.3.3:9998 -n 23 -N 0 -S 10 0/0/9998"
OPTIONS_9999="-E 20G -w /usr/local/PLATEX/converters/spool/netflow/4.4.4.4:9999 -n 23 -N 0 -S 10 0/0/9999"

В данном примере подразумевается прослушивание 4-х портов. Под каждый порт создана отдельная директория для "сырых" файлов с трафиком (например, /usr/local/PLATEX/converters/spool/netflow/1.1.1.1:9996).

Среди параметров можно выделить:

•-E 20G - максимальный размер файла 20 гигабайт

•-n 23 - количество ротаций файлов с записями о соединениях в сутки

•-N 0 - так называемый nesting_level, определяет структуру директорий, которая будет создаваться при записи файлов

•-w /usr/local/PLATEX/converters/spool/netflow/1.1.1.1:9996 - директория для записи статистики NetFlow

•-S 10 - каждые 10 минут коллектор будет сливать статистику о своей работе в лог

•0/0/9996 - по порядку: /адрес, на котором коллектор будет принимать NetFlow/адрес, с которого коллектор будет принимать NetFlow/порт, на который коллектор будет принимать NetFlow. Если первый заменить на 0, то коллектор будет принимать на любой адрес из доступных интерфейсов, если второй заменить на 0, то коллектор, соответственно, будет принимать NetFlow-данные с любых адресов.

Вариант настройки автозапуска через systemctl:

•Сначала необходимо создать файл с описанием сервиса /etc/systemd/system/platex_netflow_9996.service

[Unit]
Description=9996 Flow-capture Capture Traffic Flow Data
After=network.target

[Service]
User=oracle
Group=oinstall
EnvironmentFile=-/etc/sysconfig/flow-capture
ExecStart=/usr/bin/flow-capture -D $OPTIONS_9996

[Install]
WantedBy=multi-user.target

•Далее нужно запустить сервис

[root] systemctl daemon-reload
[root] systemctl enable platex_netflow_9996
[root] systemctl start platex_netflow_9996