Recogida de NetFlow: cómo enviar datos desde Linux, MikroTik y switches

Los logs dicen qué ocurrió en un dispositivo concreto. Lo que no dicen es quién se comunicó con quién en la red, cuántos datos transfirió y cuándo. Para eso existe NetFlow: un router u otro dispositivo resume el tráfico en flujos y los envía a un colector. FlowPro NG calcula con ellos estadísticas de tráfico, busca anomalías y permite localizar una conexión concreta incluso semanas después.

Esta guía muestra cómo enviar flujos desde las tres fuentes más habituales: un router MikroTik, un servidor o router Linux y un switch. Al final verá cómo comprobar que los datos llegan y qué hace FlowPro NG con ellos después.

Cómo funciona la recogida de flujos

Un flujo es un resumen de los paquetes con la misma dirección de origen y de destino, los mismos puertos y el mismo protocolo. El dispositivo, al que en este papel se llama exportador, va contando los flujos y envía los registros terminados por UDP al servidor FlowPro NG. Cada registro contiene las direcciones, los puertos, el protocolo, el número de bytes y paquetes, la hora de inicio y fin, los indicadores TCP y las interfaces de entrada y salida. Si el exportador lo permite, envía también las direcciones MAC y las direcciones después de la traducción NAT.

El contenido de la comunicación no se transmite. Por eso NetFlow funciona también con tráfico cifrado y el volumen de datos es una fracción del propio tráfico.

FlowPro NG recibe NetFlow v5, v9 e IPFIX en el puerto UDP 12051. Cada dirección desde la que llegan flujos es una fuente. Las fuentes nuevas aparecen solas, no hace falta registrar nada de antemano.

Antes de empezar

Puerto y estado del colector. El puerto y el estado del servicio están en Configuración → Red → Flow Collector. El puerto predeterminado es 12051. Si lo cambia, FlowPro NG actualiza por sí mismo el firewall del servidor y reinicia el servicio de recogida.

Ruta en la red. El firewall entre el exportador y el servidor debe permitir UDP al puerto 12051 hacia el servidor. NetFlow se envía sin cifrar, así que llévelo por la red interna o por una VPN, no por internet.

Versión. Si el dispositivo admite v9 o IPFIX, no use v5. La versión antigua no transporta IPv6, VLAN ni direcciones MAC.

Tiempo de espera activo. Una conexión larga, como una descarga o una videollamada, se exporta por partes cada vez que vence el tiempo de espera activo. Recomendamos 1 minuto; de lo contrario, el tráfico aparece en los gráficos con retraso y de golpe.

Licencia. El número de fuentes de flujo depende de la licencia: 1 en la versión gratuita, 3 en Core, 10 en Security e ilimitadas en Enterprise. Cada dirección de exportador cuenta como una fuente.

En los ejemplos siguientes, la dirección del servidor FlowPro NG es 192.0.2.10. Sustitúyala por la suya.

MikroTik (RouterOS)

Los routers MikroTik incluyen la exportación de flujos con el nombre Traffic Flow. En WinBox la encontrará en IP → Traffic Flow. Desde la terminal se activa con dos comandos que funcionan en RouterOS v6 y v7:

/ip traffic-flow set enabled=yes interfaces=all active-flow-timeout=1m inactive-flow-timeout=15s
/ip traffic-flow target add dst-address=192.0.2.10 port=12051 version=9

Para IPFIX en lugar de NetFlow v9, use version=ipfix. La configuración se comprueba así:

/ip traffic-flow print
/ip traffic-flow target print

El tiempo de espera activo predeterminado de MikroTik es de 30 minutos, por eso el primer comando lo reduce a 1 minuto. El router envía los flujos desde la dirección de la interfaz por la que pasa la ruta hacia el servidor, y con esa dirección aparece como fuente.

Linux (softflowd)

Linux no incluye exportación de flujos. De ella se encarga un pequeño demonio llamado softflowd, que observa el tráfico de la interfaz elegida y envía NetFlow a partir de él. Resulta útil en tres situaciones:

• un router o firewall Linux ve todo el tráfico hacia y desde internet,
• un servidor independiente solo ve su propia comunicación, lo que basta, por ejemplo, para un servidor web o de correo,
• una sonda en un puerto replicado del switch, que se describe en la sección siguiente.

En Ubuntu y Debian, softflowd se instala desde el repositorio estándar:

sudo apt install softflowd

La configuración está en el archivo /etc/softflowd/default.conf:

interface='eth0'
options='-n 192.0.2.10:12051 -v 9 -t maxlife=60'

interface es la interfaz que quiere observar; ip link muestra la lista de interfaces. -n indica la dirección y el puerto del colector, -v 9 elige NetFlow v9 (-v 10 es IPFIX) y -t maxlife=60 fija el tiempo de espera activo en 60 segundos. En un router, elija una sola interfaz, por ejemplo la que da a internet. Si observara todas las interfaces, un flujo enrutado se contaría dos veces.

Después active el servicio y compruebe que envía datos:

sudo systemctl enable --now softflowd@default
sudo softflowctl -c /run/softflowd/default.ctl statistics

Switches

Con un switch hay dos caminos, según lo que admita.

El switch exporta los flujos por sí mismo

Los switches gestionados L3 de gama alta admiten NetFlow o IPFIX directamente, por ejemplo Cisco Catalyst con Flexible NetFlow. La configuración varía según el fabricante, pero siempre se ajusta lo mismo: la dirección del servidor FlowPro NG, el puerto 12051, la versión 9 o IPFIX y un tiempo de espera activo de unos 60 segundos. Busque NetFlow, IPFIX o Flow export en la documentación del switch.

Réplica de puertos y Linux con softflowd

La mayoría de los switches no admiten NetFlow, pero sí la réplica de puertos (port mirroring, SPAN). El switch envía una copia de todo el tráfico de un puerto elegido a otro puerto. Allí se conecta un equipo Linux con softflowd, que crea los flujos a partir de la copia. Funciona con cualquier switch gestionado y además le da visibilidad del tráfico dentro de la red.

Normalmente conviene replicar el enlace ascendente hacia el router o el puerto de los servidores importantes. Un ejemplo para Cisco IOS que replica el puerto 1 en el puerto 24:

monitor session 1 source interface GigabitEthernet1/0/1 both
monitor session 1 destination interface GigabitEthernet1/0/24

Y lo mismo para un switch MikroTik de la serie CRS3xx:

/interface ethernet switch set switch1 mirror-source=ether1 mirror-target=ether24

En el equipo Linux, conecte el puerto replicado a una tarjeta de red aparte. La tarjeta no necesita dirección IP, solo tiene que estar activa (sudo ip link set eth1 up). Después ponga interface='eth1' en /etc/softflowd/default.conf; el resto es igual que en la sección anterior. Los flujos salen hacia FlowPro NG por la segunda tarjeta de red, con la que el equipo está conectado a la red de forma normal.

Un switch que solo envía sFlow se conecta de la misma forma, mediante la réplica de puertos. El colector de FlowPro NG recibe NetFlow e IPFIX.

Comprobar que llegan los datos

En el minuto siguiente a la configuración del exportador, su dirección aparece en el Flow Collector, pestaña Fuentes. Verá cuándo la fuente envió datos por primera y por última vez, cuántos registros han llegado y cuántos llegan por segundo. La barra superior muestra el número de fuentes frente al límite de la licencia. Con el icono del lápiz puede poner nombre a la fuente, de modo que en todas partes verá, por ejemplo, «Router principal» en lugar de la dirección.

Si la fuente no aparece, revise estos puntos:

1. En Configuración → Red → Flow Collector, el estado del servicio debe ser «En ejecución».
2. En el servidor, compruebe que los paquetes llegan: sudo tcpdump -ni any udp port 12051 -c 10. Si no llega nada, el problema está en la red o en el exportador, normalmente un firewall en el camino o una dirección de destino incorrecta.
3. ¿Llegan paquetes pero falta la fuente? Compruebe la versión en el exportador (v5, v9 o IPFIX) y el límite de fuentes de la licencia. Una fuente por encima del límite aparece como bloqueada en la pestaña Fuentes.

En cuanto llegan datos, el Resumen del Flow Collector muestra el tráfico actual, los flujos y paquetes por segundo, el reparto por protocolos, un mapa de países y las direcciones más activas. Al hacer clic en una fuente, el resumen se muestra solo para ella.

En la pestaña Flujos puede localizar una comunicación concreta por dirección, rango CIDR, puerto, protocolo o fuente. Los resultados se pueden exportar a CSV, Excel o PDF.

Qué hace FlowPro NG con los flujos

Cada minuto, 17 detecciones de anomalías recorren los flujos nuevos: escaneos de puertos, ataques de fuerza bruta contra SSH, RDP o FTP, beaconing y comunicación con servidores de mando y control, túneles por DNS o ICMP, fuga de datos, ataques de inundación o actividad fuera del horario laboral. En la pestaña Detección puede desactivar cada detección, ajustar sus umbrales para gravedad media, alta y crítica y ver cuántos hallazgos generó la última semana.

En la misma pestaña se introducen las direcciones excluidas, como una pasarela NAT o su propio resolvedor DNS, que de otro modo generarían falsos positivos. Las anomalías de gravedad alta o superior se registran como eventos en el Centro de eventos y desde allí pasan a los canales de notificación configurados.

El tiempo que se conservan los flujos se ajusta en Configuración → Bases de datos → Retención de datos. El límite superior lo marca la licencia: 30 días en la versión gratuita, 6 meses en Core, un año en Security y sin límite en Enterprise.

Encontrará más sobre la utilidad de los flujos en Análisis NetFlow y Detección de anomalías de red. El funcionamiento general de FlowPro NG se describe en el artículo Cómo funciona FlowPro NG. La recogida de flujos también forma parte de la versión gratuita, así que puede probarla enseguida. Los pasos están en la página Prueba gratuita.