NetFlow & IPFIX

Entstehung und Beteiligte

NetFlow wurde Mitte der 1990er-Jahre bei Cisco entwickelt, ursprünglich auch zur Beschleunigung von Routingentscheidungen. Die gesammelten Kommunikationsdatensätze erwiesen sich als wertvoll für Analyse. IPFIX standardisierte später ein herstellerneutrales Exportformat.

Welches Problem sollte gelöst werden?

Vollständige Paketerfassung ist in großen Netzen zu datenintensiv. Betreiber benötigten verdichtete Informationen darüber, wer mit wem, über welches Protokoll und in welchem Umfang kommuniziert.

Technische Hürden und Lösungen

Flows müssen anhand mehrerer Felder definiert und bei Zeitablauf exportiert werden. Sampling reduziert Last, verfälscht aber kleine Datenströme. NAT, Tunnel und asymmetrische Wege beeinflussen Sicht. IPFIX vereinheitlicht Format, nicht jede Herstellersemantik.

Standardisierung und Einordnung

Monitoring entwickelte sich vom einfachen Prüfen erreichbarer Geräte zu einer eigenen Disziplin aus Metriken, Ereignissen, Protokollen und Traces. Die zentrale Schwierigkeit besteht nicht im Sammeln möglichst vieler Daten, sondern im Erkennen relevanter Abweichungen. Zeitstempel, eindeutige Identitäten, Aufbewahrung, Normalisierung und sinnvoll gesetzte Alarmgrenzen entscheiden darüber, ob Messdaten im Störungsfall helfen.

Technik im praktischen Betrieb

Ein Messwert benötigt Kontext: Einheit, Quelle, Intervall, Aggregation und erwarteten Normalbereich. Durchschnittswerte können kurze Spitzen verdecken, Maximalwerte kleine Ausreißer überbetonen. Aufbewahrung und Auflösung sollten zum Diagnoseziel passen. Alarme müssen einen klaren Besitzer, eine Handlungsanweisung und eine Eskalation besitzen. Regelmäßige Tests mit absichtlich ausgelösten Fehlern zeigen, ob Benachrichtigung, Bereitschaft und Runbook wirklich funktionieren.

Warum das Thema heute noch relevant ist

Historische Daten schaffen erst dann Wert, wenn sie vergleichbar bleiben. Änderungen an Geräten, Namen, Intervallen oder Messdefinitionen müssen deshalb nachvollziehbar sein. Langfristige Trends beantworten Kapazitätsfragen, detaillierte kurze Daten helfen bei Störungen. Beide Ziele verlangen unterschiedliche Auflösung. Monitoring ist zugleich Teil der Beweiskette: Ohne unabhängige Zeit, unveränderte Logs und bekannte Datenlücken lässt sich nach einem Vorfall nur schwer unterscheiden, was tatsächlich geschah und was lediglich vermutet wird.

Daten und Meilensteine

• NetFlow stammt von Cisco.
• NetFlow v5 besitzt ein festes, v9 ein templatebasiertes Format.
• IPFIX wurde 2013 in RFC 7011 standardisiert.
• Flowdaten enthalten normalerweise keine vollständigen Nutzdaten.

Was ist NetFlow?

NetFlow wurde von Cisco entwickelt und ist ein Protokoll zum Exportieren von Netzwerk-Traffic-Metadaten (Flows). Ein Flow ist eine unidirektionale Kommunikationssequenz, definiert durch 5-Tupel: Quell-IP, Ziel-IP, Quell-Port, Ziel-Port, Protokoll.

NetFlow erfasst keine Paket-Inhalte (kein Payload), sondern nur Metadaten – wer spricht mit wem, wie lange, wie viel Daten. Das ermöglicht Analyse ohne Datenschutzprobleme. IPFIX (IP Flow Information Export, RFC 7011) ist der Industriestandard auf Basis von NetFlow v9.

Anwendungsfälle

• Bandbreitenanalyse: Wer verbraucht wie viel Bandbreite? Top-Talker und Top-Flows identifizieren.
• Anomalieerkennung: Ungewöhnliche Traffic-Muster – Port-Scans, DDoS, Data Exfiltration (ungewöhnlich große Datentransfers zu externen IPs).
• Kapazitätsplanung: Langzeittrends für Bandbreitenanforderungen, Dimensionierung von WAN-Links.
• Netzwerkforensik: Im Sicherheitsvorfall – wer hat mit wem gesprochen, wann, wie viel Daten?
• QoS-Validierung: Werden Priorisierungsregeln eingehalten? SLA-Monitoring.
• Abrechnungsmodelle: ISPs nutzen Flow-Daten für Nutzungsabrechnung.

Varianten und Tools

NetFlow v5 (Cisco, weit verbreitet), NetFlow v9 (flexibles Template-Format, Basis für IPFIX), IPFIX (RFC 7011, herstellerneutral, Standard), sFlow (Sample-basiert, 1 von n Paketen, geringe CPU-Last, schnelle Übersicht).

Collector/Analyse-Tools: ntopng (Web-Interface, Flow-Analyse), nfdump (CLI), Elastiflow (ELK-basiert), Scrutinizer (Plixer, kommerziell), Stealthwatch (Cisco, SIEM-Integration). Exporter: Auf Cisco/Juniper Routern nativ konfigurierbar. Linux: softflowd, fprobe.