Khi băng thông tăng cao, biểu đồ tổng lưu lượng thường chưa đủ để xác định nguyên nhân: thiết bị nào đang gửi nhiều dữ liệu, kết nối tới đâu, dùng giao thức nào và tình trạng đó bắt đầu từ khi nào? NetFlow giúp trả lời những câu hỏi này bằng cách tổng hợp thông tin về các luồng mạng để đội ngũ IT phân tích và xử lý.
NetFlow là gì?
NetFlow là công nghệ do Cisco phát triển để ghi nhận thống kê về các gói tin đi qua thiết bị mạng và xuất dữ liệu đó cho mục đích giám sát, phân tích lưu lượng, lập kế hoạch mạng và hỗ trợ bảo mật. Kết quả thường được gửi dưới dạng các bản ghi luồng (flow records) tới một hệ thống thu thập và phân tích.
NetFlow là một giao thức mạng do Cisco phát triển để thu thập, thống kê và phân tích
“Luồng mạng” trong NetFlow là gì?
Một luồng mạng (flow) là một nhóm gói tin có các thuộc tính chung, chẳng hạn địa chỉ IP nguồn và đích, cổng nguồn và đích, giao thức hoặc giao diện mạng. NetFlow thường ghi nhận mỗi chiều trao đổi thành một luồng riêng; vì vậy, dữ liệu gửi từ máy A đến máy B và dữ liệu phản hồi từ B về A có thể xuất hiện dưới dạng hai luồng.
NetFlow có phải là phần mềm giám sát mạng không?
Không hẳn. NetFlow là cách thiết bị mạng tạo và xuất dữ liệu về luồng lưu lượng. Để xem báo cáo, lọc theo thời gian hoặc tìm các kết nối nổi bật, doanh nghiệp còn cần một collector để nhận dữ liệu và một công cụ phân tích hoặc hiển thị dữ liệu đó.
NetFlow hoạt động như thế nào?
Một hệ thống NetFlow thường có ba thành phần:
- Exporter: Router, switch, firewall hoặc thiết bị phù hợp ghi nhận lưu lượng, tạo bản ghi và gửi dữ liệu ra ngoài.
- Collector: Nhận và lưu các bản ghi do exporter gửi đến.
- Analyzer: Phân tích dữ liệu, hiển thị lưu lượng theo thiết bị, địa chỉ IP, giao thức hoặc khoảng thời gian.
Trong tài liệu Cisco, exporter được mô tả là thành phần theo dõi gói tin, tạo luồng và gửi bản ghi tới collector; collector nhận và lưu thông tin luồng.
NetFlow (do Cisco phát triển) hoạt động như một hệ thống "ghi nhật ký cuộc gọi" cho mạng máy tính
Quy trình cơ bản gồm:
- Gói tin đi qua giao diện mạng đã được cấu hình theo dõi
- Thiết bị đối chiếu gói tin với các trường định danh của luồng
- Các gói thuộc cùng luồng được tổng hợp vào bộ nhớ đệm (flow cache)
- Khi luồng kết thúc hoặc đến thời điểm xuất dữ liệu, exporter gửi bản ghi tới collector
- Công cụ phân tích nhóm dữ liệu để chỉ ra các luồng có lưu lượng lớn, thời điểm bất thường hoặc hướng kết nối đáng chú ý
NetFlow ghi nhận những thông tin nào?
Các trường dữ liệu phụ thuộc vào phiên bản NetFlow và cấu hình của thiết bị. Một bản ghi có thể chứa:
- Địa chỉ IP nguồn và đích
- Cổng nguồn và cổng đích
- Giao thức mạng hoặc giao thức truyền tải
- Giao diện mạng liên quan
- Số gói tin và lượng dữ liệu của luồng
- Thời điểm bắt đầu hoặc kết thúc luồng
- Một số trường bổ sung như lớp dịch vụ hoặc thông tin định tuyến, nếu thiết bị hỗ trợ và được cấu hình
Các trường IP, cổng, giao thức và giao diện thường được dùng để xác định luồng; những trường thống kê khác giúp mô tả hoạt động của luồng đó.
NetFlow hữu ích để biết thiết bị nào đang trao đổi dữ liệu với địa chỉ nào, qua giao thức nào và với quy mô ra sao. Thông thường, bản ghi NetFlow không lưu lại toàn bộ nội dung gói tin như một bản ghi packet capture. Vì vậy, NetFlow không cho biết đầy đủ nội dung bên trong một phiên truy cập HTTPS.
NetFlow được dùng để làm gì?
Sau khi dữ liệu luồng được thu thập, đội ngũ IT có thể dùng chúng để theo dõi hiệu năng mạng, mức sử dụng và những thay đổi bất thường. Giá trị thực tế là giúp thu hẹp phạm vi cần kiểm tra, thay vì chỉ thấy tổng lưu lượng tăng mà chưa biết nguyên nhân.
Tìm nguồn gây nghẽn hoặc tăng lưu lượng
Nếu đường truyền tăng tải vào một khung giờ nhất định, dữ liệu NetFlow có thể giúp xác định các địa chỉ IP hoặc nhóm luồng chiếm phần lớn lưu lượng. Đội ngũ vận hành có thể từ đó kiểm tra thêm máy chủ, ứng dụng hoặc hoạt động liên quan.
Theo dõi cách sử dụng mạng
NetFlow hỗ trợ xem lưu lượng theo IP, giao thức, giao diện hoặc thời gian. Đây là dữ liệu tham khảo cho việc đánh giá nhu cầu băng thông, lập kế hoạch mở rộng và xác định những kết nối sử dụng tài nguyên mạng nổi bật. Cisco cũng liệt kê các ứng dụng như lập kế hoạch mạng, theo dõi lưu lượng và thống kê sử dụng mạng.
Hỗ trợ phát hiện dấu hiệu bất thường
Một thay đổi đột ngột về lưu lượng hoặc kết nối tới nhiều địa chỉ lạ có thể là tín hiệu để đội ngũ bảo mật kiểm tra thêm. Tuy nhiên, NetFlow cung cấp dữ liệu hỗ trợ phân tích; bản thân nó không tự xác nhận một sự kiện là tấn công và không thay thế các công cụ phòng vệ hoặc điều tra chuyên sâu.
NetFlow khác SNMP và packet capture như thế nào?
SNMP, NetFlow và packet capture đều có thể hỗ trợ công việc giám sát mạng, nhưng mỗi phương thức trả lời một nhóm câu hỏi khác nhau. Có thể chọn phương thức phù hợp theo mức độ chi tiết cần quan sát.
| Phương thức | Trọng tâm dữ liệu | Phù hợp khi cần |
|---|---|---|
| SNMP | Trạng thái thiết bị và bộ đếm trên giao diện mạng, chẳng hạn mức sử dụng hoặc tổng byte truyền | Theo dõi tình trạng thiết bị, cổng mạng và xu hướng tổng lưu lượng |
| NetFlow/IPFIX | Thông tin theo luồng như IP nguồn/đích, giao thức, cổng và lượng dữ liệu | Tìm luồng hoặc nhóm thiết bị đang tạo ra lưu lượng |
| Packet capture | Gói tin chi tiết tại điểm thu thập; có thể bao gồm payload tùy cách bắt và khả năng giải mã | Điều tra sâu một phiên giao tiếp hoặc lỗi giao thức cụ thể |
Các phương thức này giải quyết những câu hỏi khác nhau và có thể được dùng kết hợp. Ví dụ, SNMP cho thấy tổng lưu lượng trên giao diện tăng; NetFlow giúp khoanh vùng các luồng lớn; packet capture có thể hỗ trợ phân tích sâu hơn khi cần xem chi tiết phiên giao tiếp.
NetFlow và IPFIX có giống nhau không?
NetFlow và IPFIX không hoàn toàn giống nhau, nhưng chúng có mối quan hệ rất chặt chẽ
NetFlow là công nghệ gắn với Cisco và có nhiều định dạng bản ghi. NetFlow v9 sử dụng template để mô tả cấu trúc bản ghi, giúp định dạng linh hoạt hơn khi bổ sung trường dữ liệu. IPFIX là giao thức chuẩn hóa của IETF để truyền thông tin về lưu lượng mạng; RFC 7011 mô tả cơ chế trao đổi dữ liệu flow giữa tiến trình xuất và tiến trình thu thập.
Khi triển khai, cần kiểm tra thiết bị và collector có hỗ trợ cùng định dạng, template và các trường dữ liệu cần thiết hay không. Không nên mặc định mọi thiết bị đều ghi nhận cùng một tập thông tin.
Những giới hạn cần lưu ý
NetFlow cung cấp góc nhìn hữu ích về lưu lượng, nhưng kết quả phụ thuộc vào vị trí và cách cấu hình:
- Chỉ thấy lưu lượng tại nơi đã bật exporter: Thiết bị hoặc giao diện không xuất dữ liệu sẽ không xuất hiện đầy đủ trong phân tích.
- Mức độ chi tiết tùy cấu hình: Trường dữ liệu, thời điểm xuất và bộ lọc có thể khác nhau giữa thiết bị.
- Có thể dùng lấy mẫu: Một số cấu hình chỉ xử lý một phần gói tin để giảm tải. Khi bật sampling, dữ liệu không còn đại diện cho mọi gói tin; độ chính xác phụ thuộc vào cách lấy mẫu và lưu lượng thực tế. Cisco mô tả Random Sampled NetFlow là phương thức xử lý một gói được chọn trong mỗi nhóm gói theo tham số cấu hình.
- Không thay thế giám sát ứng dụng hoặc bắt gói: NetFlow cho biết đặc điểm của luồng, nhưng không tự cho biết đầy đủ nguyên nhân khiến ứng dụng phản hồi chậm hay nội dung trao đổi trong phiên.
- Cần tính đến tài nguyên và lưu trữ: Số lượng luồng, tốc độ xuất dữ liệu, thời gian lưu và cấu hình trên thiết bị đều ảnh hưởng tới tài nguyên vận hành.
Doanh nghiệp nên bắt đầu giám sát NetFlow ra sao?
Trước khi bật NetFlow trên toàn hệ thống, đội ngũ IT có thể bắt đầu theo các bước sau:
- Xác định câu hỏi cần trả lời: Ví dụ, cần tìm nguồn gây nghẽn, theo dõi lưu lượng đi ra Internet hay phát hiện thay đổi trong kết nối.
- Chọn điểm thu thập phù hợp: Ưu tiên các giao diện kết nối Internet, trung tâm dữ liệu hoặc phân đoạn mạng đang gặp vấn đề.
- Kiểm tra khả năng tương thích: Xác nhận thiết bị có xuất được NetFlow/IPFIX và collector nhận được phiên bản, template cùng trường dữ liệu tương ứng.
- Cấu hình collector và đường truyền dữ liệu: Kiểm tra định tuyến, chính sách firewall, đồng bộ thời gian và khả năng tiếp nhận dữ liệu.
- Đánh giá sampling và thời gian lưu: Chọn mức lấy mẫu, tần suất xuất và thời gian lưu theo mục tiêu phân tích và năng lực hệ thống.
- Đối chiếu dữ liệu: So sánh tổng lưu lượng từ flow records với bộ đếm trên giao diện mạng để phát hiện cấu hình thiếu hoặc sai khác.
NetFlow liên quan gì đến giám sát hạ tầng cloud?
NetFlow tập trung vào dữ liệu của các luồng giao tiếp qua thiết bị mạng. Trong khi đó, khi vận hành máy chủ và website trên cloud, đội ngũ IT cũng cần theo dõi những chỉ số như CPU, RAM, băng thông mạng và trạng thái dịch vụ.
Với hệ thống trên Bizfly Cloud, Bizfly Cloud Watcher hỗ trợ giám sát máy chủ, website và ứng dụng, đồng thời cấu hình cảnh báo theo các chỉ số tài nguyên. Tài liệu sản phẩm liệt kê Network Bandwidth cùng CPU và RAM trong các tham số cảnh báo cho Cloud Server. Lớp giám sát này có thể bổ sung góc nhìn về tình trạng máy chủ; để phân tích chi tiết các luồng IP, cổng và giao thức, doanh nghiệp vẫn cần giải pháp thu thập và phân tích flow phù hợp.
Nếu cần xem cách quản lý băng thông của máy chủ, có thể tham khảo thêm hướng dẫn cấu hình băng thông mạng trên Bizfly Cloud.
Câu hỏi thường gặp về NetFlow
Khi bắt đầu tìm hiểu NetFlow, người quản trị thường muốn biết công nghệ này xem được tới đâu và cần những thành phần nào để sử dụng. Các câu hỏi dưới đây làm rõ một số điểm dễ nhầm lẫn.
NetFlow có xem được nội dung người dùng truy cập không?
Thông thường, NetFlow ghi nhận metadata và thống kê của luồng chứ không lưu toàn bộ nội dung gói tin. Với kết nối mã hóa như HTTPS, bản ghi luồng không cho biết nội dung trao đổi bên trong phiên.
NetFlow có giúp phát hiện tấn công mạng không?
NetFlow có thể cung cấp dấu hiệu bất thường, chẳng hạn thay đổi lớn về lưu lượng hoặc các kết nối khác thường. Đội ngũ bảo mật cần kết hợp thêm ngữ cảnh, log và công cụ chuyên dụng để xác minh và xử lý.
NetFlow có thay thế SNMP không?
Không. NetFlow giúp phân tích lưu lượng theo luồng; SNMP thường được dùng để theo dõi trạng thái thiết bị và bộ đếm giao diện. Hai phương thức có thể bổ sung cho nhau.
Có cần cài collector khi dùng NetFlow không?
Thông thường có. Thiết bị xuất dữ liệu cần gửi bản ghi tới collector hoặc một nền tảng có chức năng tương đương để lưu trữ, phân tích và hiển thị.
NetFlow giúp đội ngũ IT nhìn sâu hơn vào lưu lượng mạng so với một con số tổng băng thông: họ có thể xác định các luồng giao tiếp nổi bật, theo dõi thời điểm sử dụng cao và khoanh vùng dấu hiệu bất thường. Để dữ liệu hữu ích, cần chọn đúng điểm thu thập, kiểm tra định dạng và sampling, đồng thời kết hợp NetFlow với các phương thức giám sát thiết bị, máy chủ và ứng dụng.
