Dzięki NetFlow IP Top Talkers widać top N najbardziej aktywnych przepływów, co umożliwia łatwą i szybką identyfikację urządzeń, użytkowników, aplikacji i usług generujących najwięcej określonego ruchu.
Funkcjonalność ta wymaga wcześniejszego uruchomienia usługi NetFlow na odpowiednich interfejsach. Wskazana ilość top przepływów z Main Cache, może zostać posortowana według największej ilości przesłanych pakietów lub bajtów. Istnieje też możliwość zawężania tych kryteriów, jeżeli interesuje nas jakiś konkretny ruch.
Zainteresowanych zbieraniem danych o ruchu oraz jego analizą zachęcamy do zapoznania się z Cisco Stealthwatch.
R4(config)# ip flow-top-talkers
R4(config-flow-top-talkers)# ?
Netflow top talker configuration commands:
cache-timeout Configure cache timeout
default Set a command to its defaults
exit Exit from top talkers configuration mode
match Configure match criteria
no Negate a command or set its defaults
sort-by Configure top talker sort criteria
top Configure number of top talkers
R4(config-flow-top-talkers)# match ?
byte-range Match a range of bytes
class-map Match a class
destination Match destination criteria
direction Match direction
flow-sampler Match a flow sampler
input-interface Match input interface
nexthop-address Match next hop
output-interface Match output interface
packet-range Match a range of packets
protocol Match protocol
source Match source criteria
tos Match TOS
R4(config-flow-top-talkers)# match destination ?
address Match source address
as Match source AS
port Match source port
R4(config-flow-top-talkers)# match destination address 172.16.6.1/32
R4(config-flow-top-talkers)# match protocol ?
<0-255> Protocol number
tcp Match TCP
udp Match UDP
R4(config-flow-top-talkers)# match protocol 1
R4(config-flow-top-talkers)# sort-by ?
bytes Sort top talkers by bytes
packets Sort top talkers by packets
R4(config-flow-top-talkers)# sort-by by
R4(config-flow-top-talkers)# sort-by bytes
R4(config-flow-top-talkers)# top ?
<1-200> Number of top talkers
R4(config-flow-top-talkers)# top 4
R4(config-flow-top-talkers)# cache-timeout ?
<1-3600000> Cache timeout in milliseconds
R4(config-flow-top-talkers)# cache-timeout 20000
R4(config-flow-top-talkers)# exit
R4(config)#
Po konfiguracji usługi, przy użyciu poleceń show ip flow top-talkers (informacje podstawowe) i show ip flow top-talkers verbose (informacje rozszerzone), możemy dostać się do potrzebnych nam informacji. Widać poniżej, że tylko 6 z 69 przepływów znajdujących się w Main Cache spełnia zadane przez nas kryteria (match). Przy czym, zgodnie z naszą konfiguracją, wyświetlone i posortowane po ilości bajtów zostaje tylko top 4.
R4# show ip flow top-talkers
SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Bytes
Gi0/0 172.16.2.65 Gi0/2 172.16.6.1 01 0000 0800 360K
Gi0/0 172.16.2.33 Gi0/2 172.16.6.1 01 0000 0800 50K
Gi0/0 172.16.2.17 Gi0/2 172.16.6.1 01 0000 0800 50K
Gi0/0 172.16.2.9 Gi0/2 172.16.6.1 01 0000 0800 10K
4 of 4 top talkers shown. 6 of 69 flows matched.
R4# show ip flow top-talkers verbose
SrcIf SrcIPaddress DstIf DstIPaddress Pr TOS Flgs Bytes
Port Msk AS Port Msk AS NextHop B/Pk Active
Gi0/0 172.16.2.65 Gi0/2 172.16.6.1 01 E0 10 360K
0000 /26 0 0800 /32 65006 172.16.46.6 1200 0.3
Gi0/0 172.16.2.33 Gi0/2 172.16.6.1 01 F8 10 50K
0000 /27 0 0800 /32 65006 172.16.46.6 100 0.4
Gi0/0 172.16.2.17 Gi0/2 172.16.6.1 01 E0 10 50K
0000 /28 0 0800 /32 65006 172.16.46.6 500 0.0
Gi0/0 172.16.2.9 Gi0/2 172.16.6.1 01 C0 10 10K
0000 /29 0 0800 /32 65006 172.16.46.6 100 0.1
4 of 4 top talkers shown. 6 of 69 flows matched.
R4#
Jeśli NetFlow nie został wcześniej uruchomiony, wydanie powyższych poleceń zwróci nam błąd, jak poniżej.
R4# show ip flow top-talkers
% Netflow isn't enabled.
R4#
Aby wyłączyć NetFlow IP Top Talkers, wystarczy zanegować polecenie ip flow-top-talkers.
R4# configure terminal
R4(config)# no ip flow-top-talkers
R4(config)# do show ip flow top-talkers
% Top talkers not configured
R4(config)#
NetFlow IP Top Talkers umożliwia wygodne podsumowanie tego co dzieje się w przechodzącym przez urządzenie ruchu zarówno z CLI, jak i za pomocą SNMP. Informacje te mogą być pomocne zarówno w trakcie diagnozy, jak i do generowania alarmów.
Zapraszamy do kontaktu drogą mailową This email address is being protected from spambots. You need JavaScript enabled to view it. lub telefonicznie +48 797 004 932.