Was ist IPFIX?

IP Flow Information Export (IPFIX) ist ein IETF-Standardprotokoll zum Exportieren von Fluss- und Protokoll-Datensätzen von Netzwerkgeräten an Erfassungssysteme. Es basiert auf Ciscos NetFlow Version 9 und definiert ein vorlagenbasiertes Binärformat, das VOS-Geräte verwenden, um Datenverkehr und Protokolldaten an „ Versa “-Analyseknoten und NetFlow-kompatible Sammler von Drittanbietern zu übertragen.

Die wichtigsten Erkenntnisse

• IPFIX ist das IETF-Standardformat für den Export von Fluss- und Protokolldaten.
• Es hat sich aus dem proprietären NetFlow-Exportformat Version 9 von Cisco entwickelt.
• Vorlagen beschreiben Datensatzfelder, sodass die Erfasser keine Vorkenntnisse benötigen.
• VOS-Geräte exportieren IPFIX an „ Versa “-Analytics-Knoten und NetFlow-Kollektoren.
• Aufgrund dieser Herkunft wird IPFIX manchmal auch als „NetFlow Version 10“ bezeichnet.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · IPFIX & Versa · Häufig gestellte Fragen

Warum ist IPFIX wichtig?

Der Netzwerk- und Sicherheitsbetrieb ist auf Einblick in die Datenverkehrsströme angewiesen, und dieser Einblick lässt sich nur dann skalieren, wenn Geräte verschiedener Hersteller die Daten in einem gemeinsamen Format exportieren. Vor der Einführung von IPFIX waren die Formate für den Export von Datenverkehrsströmen meist proprietär, sodass ein für die Datensätze eines Herstellers entwickelter Kollektor die Datensätze eines anderen Herstellers oft nicht auswerten konnte. Durch die Standardisierung des Formats im Rahmen der IETF können Analyseplattformen, SIEM-Systeme und NetFlow-Kollektoren nun Datenverkehrsstromdaten von jedem kompatiblen Exporteur ohne spezielle Auswertung akzeptieren.

Das vorlagenbasierte Design von IPFIX spielt auch im operativen Bereich eine wichtige Rolle: Da ein Gerät das Datensatzlayout nur einmal übermittelt und anschließend wiederverwendet, können Exporteure Felder hinzufügen – beispielsweise ein Sicherheits-Tag oder eine Anwendungs-ID –, ohne dass ältere Erfassungssysteme beeinträchtigt werden, die nicht erkannte Elemente einfach ignorieren. Diese Erweiterbarkeit ist der Grund, warum IPFIX nach wie vor das Standard-Exportformat für Flussanalysen, Kapazitätsplanung und Sicherheitsuntersuchungen in herstellerübergreifenden SD-WAN-Netzwerken ist, die gleichzeitig Daten von Hunderten von Filialgeräten erfassen.

Was ist IPFIX?

IPFIX definiert zwei Datensatztypen, die im selben Datenstrom zusammenfließen. Ein Vorlagendatensatz beschreibt die Struktur der nachfolgenden Daten: welche Felder vorhanden sind, in welcher Reihenfolge sie stehen und wie viele Bytes jedes Feld belegt. Ein Datensatz enthält dann die tatsächlichen Werte – Quell- und Zieladressen, Ports, Protokoll, Byte- und Paketzahlen –, die mit der zuletzt gesendeten Vorlage mit dieser ID übereinstimmen. Da die Vorlage zusammen mit den Daten übertragen wird, kann ein Sammler den Datenstrom jedes Exporteurs analysieren, ohne die Feldlayouts im Voraus fest programmieren zu müssen.

Die Felder stammen aus einem von der IANA geführten Verzeichnis von Informationselementen sowie aus herstellerspezifischen Elementen, die von den Exportern selbst definiert werden. Ein Exportprozess auf dem Gerät puffert und überträgt Datensätze; ein Erfassungsprozess auf der Empfängerseite empfängt und speichert diese, in der Regel über UDP, TCP oder SCTP. IPFIX ist in IETF RFC 7011 spezifiziert, wobei das Feldverzeichnis in RFC 7012 definiert ist.

Arten von IPFIX

Über die grundlegenden Datensätze hinaus definiert IPFIX eine Optionsvorlage für Metadaten, die sich auf den Exportvorgang selbst beziehen – wie beispielsweise Abtastraten oder die Identität des Exporteurs – und nicht auf den Datenverkehr. Dadurch kann ein Sammler die erfassten Daten korrekt interpretieren, ohne dass ein separater Seitenkanal erforderlich ist.

Die Versionsnummerierung spielt in der Praxis eine Rolle. Mit Cisco NetFlow Version 9 wurde das Template-Konzept eingeführt; IPFIX hat dieses Modell unter der Leitung der IETF standardisiert, weshalb es informell als NetFlow Version 10 bezeichnet wird. Anbieter können das Template weiterhin um proprietäre Informationselemente erweitern und dabei die Kompatibilität mit generischen Collectoren gewährleisten, da nicht erkannte Felder einfach übersprungen werden. Da die Implementierungen der Kollektoren hinsichtlich der akzeptierten Vorlagenversionen variieren, sollte im Voraus geprüft werden, ob ein Exporter mit einem unbekannten Kollektor kombiniert werden kann.

IPFIX & Versa

VOS-Geräte exportieren Betriebs- und Sicherheitsprotokolle im IPFIX-Format, wann immer große Mengen an Flussdaten ohne herstellerspezifische Anpassungen an einen Kollektor übermittelt werden müssen. Die Protokoll-Exportfunktion (LEF) leitet Protokolle über LEF-Verbindungen an Analytics-Protokollkollektor-Knoten und NetFlow-Kollektoren von Drittanbietern weiter. Die Konfiguration erfolgt über eine Protokoll-Exportvorlage, einen Kollektor und ein LEF-Profil, das eine Funktion oder einen Dienst mit einem Ziel verknüpft. Auf der Empfängerseite führt ein Analytics-Protokollsammlerknoten einen Protokollsammler-Exporter aus, der diese Verbindungen akzeptiert und lokale sowie entfernte Sammler und Exporter-Regeln definieren kann, um Protokolle zu speichern oder weiterzuleiten, bevor der Analytics-Treiber sie aufnimmt. Mandantenadministratoren greifen über wiederverwendbare Protokollierungsprofile, die Sammlergruppen dienstübergreifend bündeln, auf entsprechende Funktionen in Concerto zu. VOS-IPFIX-Vorlagen enthalten zudem herstellerspezifische Felder „ Versa “ – Mandanten-ID, Anwendungs-ID – für mandantenübergreifende Analysen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen IPFIX und NetFlow?

IPFIX ist die von der IETF standardisierte Weiterentwicklung von Ciscos proprietärem NetFlow Version 9; es behält die gleiche vorlagenbasierte, selbstbeschreibende Struktur bei, ist jedoch herstellerneutral und durch einen bei der IANA registrierten Feldsatz erweiterbar. Aufgrund dieser Herkunft wird IPFIX manchmal informell als NetFlow Version 10 bezeichnet.

Warum verwendet IPFIX Vorlagen anstelle eines festen Datensatzformats?

Mithilfe von Vorlagen kann ein Exporter die Reihenfolge und Länge der Felder einmalig festlegen und anschließend nur noch die Werte übermitteln, was effizienter ist, als die Bezeichnungen für jeden Datensatz einzeln zu wiederholen. Außerdem können Importeure so den Datenstrom jedes Exporters – egal ob standardisiert oder herstellerspezifisch erweitert – auswerten, ohne das spezifische Feldlayout des jeweiligen Herstellers im Voraus fest programmieren zu müssen.

Welche Transportprotokolle verwendet IPFIX?

IPFIX kann über UDP, TCP oder SCTP ausgeführt werden; der Exporter und der Collector vereinbaren für eine bestimmte Sitzung ein Protokoll. Die VOS-Protokoll-Exportfunktion unterstützt UDP- und TCP-Verbindungen zwischen Geräten und Analytics-Knoten oder NetFlow-kompatiblen Collectors, je nachdem, wie der Collector konfiguriert ist.

Können IPFIX-Protokolle an mehr als einen Collector gesendet werden?

Ja. VOS unterstützt Kollektorgruppen für hohe Verfügbarkeit, bei denen Protokolle jeweils an ein aktives Mitglied übertragen werden, sowie Kollektorgruppenlisten, die mehrere Gruppen miteinander verketten, sodass dieselben Protokolle gleichzeitig mehrere unabhängige Ziele erreichen – beispielsweise einen Analytics-Cluster und ein SIEM-System eines Drittanbieters.

Enthält IPFIX Sicherheitsdaten oder lediglich Verkehrsstatistiken?

Beides. Über grundlegende Daten zum Datenverkehr wie Adressen, Ports und Byte-Zahlen hinaus enthalten die VOS-IPFIX-Exporte Protokolltypen wie Firewall-, IDP- und URL-Filter-Ereignisse, die mit Herstellerfeldern wie Anwendungs-ID und Mandanten-ID gekennzeichnet sind, sodass die Sammler neben dem Datenverkehrsaufkommen auch den Sicherheitskontext erhalten.

Mehr zu IPFIX

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über IPFIX informieren, sollten Sie sich als Nächstes diese Artikel ansehen.