Tutorial FlowTools

As dicas foram retiradas da lista GTER, várias sugeridas pelo Rubens K. em outros posts:

Utilizando o CENTOS como base, faça:

# yum install flow-tools-devel flow-tools flow-tools-rrdtool

Instalar tambem os modulos Perl:

# yum install perl-Net-Patricia

A estrutura de pastas ficou assim:
/netflow
/netflow/data
/netflow/tools
/netflow/tmp

Copiar as ferramentas para a pasta tools: (preservar os nomes)
flow-asn.pl -> http://pastebin.com/BRA0Nwdz
gerar_originate.sh -> http://pastebin.com/Rb29X23M
rotate.sh -> http://pastebin.com/dKGFafLX
flow_report.sh -> http://pastebin.com/G1xHNXre

Todos dentro da pasta tools !!!!

# chmod 755 /netflow/tools/*

No arquivo /etc/sysconfig/flow-capture coloque o seguinte (apague o que tiver):

OPTIONS="-E 40G -n 287 -N 0 -w /netflow/data -S 5 0/0/5555 -R /netflow/tools/rotate.sh"

Coloque no cron o arquivo gerar_originate.sh para ser executado 1 vez por dia:

# crontab -e
0 0 * * * /netflow/tools/gerar_originate.sh >/dev/null 2>&1

Libere o firewall para o flow-capture receber os dados:(execute no console)

# iptables -t filter -N FLOW
# iptables -t filter -I INPUT -p udp --dport 5555 -j FLOW
# iptables -t filter -A FLOW -s xxx.xxx.xxx.xxx -j ACCEPT
# iptables -t filter -A FLOW -s yyy.yyy.yyy.yyy -J ACCEPT
# iptables -t filter -A DROP

Onde xxx e yyy são os roteadores/switchs que vão enviar os flows, adicione mais linhas caso necessário (mas sempre a ultima linha deve ser a DROP).

Salvar o iptables: (se usar o padrão do firewall do centos. Caso não use, inclua as linhas acima em seu script).

# service iptables save

Agora adicione o flow-capture para iniciar com o sistema:

# chkconfig --add flow-capture
# chkconfig flow-capture on

Vamos acertar as premissões agora:

# chown flow-tools:flow-tools /netflow
# chown flow-tools:flow-tools /netflow/* -R
# chmod 740 /netflow/tools/*
# chmod 740 /netflow


Inicie o flow-capture manualmente para não precisar reiniciar o servidor:

# service flow-capture start


Sistema deve iniciar (verifique os logs caso não), e neste ponto, basta configurar seus roteadores/switches para enviar os dados para o servidor.

Para ver os dados:
# /netflow/tools/flow_report.sh /netflow/data/ft-*

onde xxxxx é o arquivo de flow. Vai te mostrar estatisticas do flow utilizado, para gerar completo, basta adaptar o script para ler TODOS os flows :

# /netflow/tools/flow_report.sh /netflow/data/ft-*


Grande abraço !!

Alexandre Jeronimo Correa - Onda Internet
ajcorrea@gmail.com