¿Qué es IPFIX?

IP Flow Information Export (IPFIX) es un protocolo estándar de la IETF para exportar registros de flujo y de log desde dispositivos de red a sistemas de recopilación. Derivado de NetFlow versión 9 de Cisco, define un formato binario basado en plantillas que los dispositivos VOS utilizan para transmitir datos de tráfico y de log a los nodos de análisis de Versa y a colectores de terceros compatibles con NetFlow.

Puntos clave

• IPFIX es el formato estándar de la IETF para exportar datos de flujos y registros.
• Se desarrolló a partir del formato de exportación NetFlow versión 9, propio de Cisco.
• Las plantillas describen los campos de los registros, por lo que los recopiladores no necesitan conocimientos previos.
• Los dispositivos VOS exportan IPFIX a los nodos de análisis de Versa y a los colectores de NetFlow.
• A veces se denomina a IPFIX «NetFlow Versión 10» debido a ese origen.

En esta página: Por qué es importante · Cómo funciona · Tipos · IPFIX y Versa · Preguntas frecuentes

¿Por qué es importante IPFIX?

Las operaciones de red y seguridad dependen de la visibilidad de los flujos de tráfico, y esa visibilidad solo puede ampliarse si los dispositivos de distintos proveedores exportan los datos en un formato común. Antes de IPFIX, los formatos de exportación de flujos eran en su mayoría propietarios, por lo que un colector diseñado para los registros de un proveedor a menudo no podía analizar los de otro. La estandarización del formato en el marco de la IETF permitió que las plataformas de análisis, los sistemas SIEM y los colectores NetFlow aceptaran datos de flujos de cualquier exportador compatible sin necesidad de un análisis personalizado.

El diseño basado en plantillas de IPFIX también es importante desde el punto de vista operativo: dado que un dispositivo envía el formato del registro una sola vez y lo reutiliza, los exportadores pueden añadir campos —una etiqueta de seguridad, un identificador de aplicación— sin que ello afecte al funcionamiento de los colectores más antiguos, que simplemente ignoran lo que no reconocen. Esa extensibilidad es la razón por la que IPFIX sigue siendo el formato de exportación predeterminado para el análisis de flujos, la planificación de la capacidad y las investigaciones de seguridad en estructuras SD-WAN de múltiples proveedores que generan informes sobre cientos de dispositivos de sucursales a la vez.

¿Qué es IPFIX?

IPFIX define dos tipos de registros que circulan juntos en el mismo flujo. Un registro de plantilla describe la estructura de los datos que le siguen: qué campos están presentes, en qué orden y cuántos bytes ocupa cada uno. A continuación, un registro de datos transporta los valores reales —direcciones de origen y destino, puertos, protocolo, recuentos de bytes y paquetes— que se ajustan a la plantilla enviada más recientemente con ese ID. Dado que la plantilla viaja junto con los datos, un colector puede analizar el flujo de cualquier exportador sin necesidad de codificar de antemano la disposición de los campos.

Los campos proceden de un registro de elementos de información gestionado por la IANA, además de elementos específicos de cada proveedor que definen los propios exportadores. Un proceso de exportación en el dispositivo almacena temporalmente y transmite los registros; un proceso de recogida en el extremo remoto los recibe y los almacena, normalmente a través de UDP, TCP o SCTP. IPFIX se especifica en el RFC 7011 de la IETF, y el registro de campos se define en el RFC 7012.

Tipos de IPFIX

Más allá de los registros de datos básicos, IPFIX define una plantilla de opciones para los metadatos relativos al propio proceso de exportación —como las frecuencias de muestreo o la identidad del exportador— en lugar de a los datos de tráfico. Esto permite que un recopilador interprete correctamente los datos muestreados sin necesidad de un canal secundario independiente.

Las versiones son importantes en la práctica. La versión 9 de NetFlow de Cisco introdujo el concepto de plantilla; IPFIX estandarizó ese modelo bajo la supervisión de la IETF, por lo que se la conoce informalmente como NetFlow versión 10. Los proveedores aún pueden ampliar la plantilla con elementos de información propios sin perder la compatibilidad con los colectores genéricos, ya que los campos no reconocidos simplemente se omiten. Las implementaciones de los colectores varían en cuanto a las versiones de plantilla que aceptan, por lo que conviene comprobar de antemano la compatibilidad entre un exportador y un colector con el que no se esté familiarizado.

IPFIX y Versa

Los dispositivos VOS exportan registros operativos y de seguridad en formato IPFIX siempre que sea necesario que un gran volumen de datos de flujo llegue a un colector sin necesidad de personalización específica del proveedor. La funcionalidad de exportación de registros (LEF) reenvía los registros a los nodos colectores de registros de Analytics y a colectores NetFlow de terceros a través de conexiones LEF, configuradas mediante una plantilla de exportación de registros, un colector y un perfil LEF que vincula una función o un servicio a un destino. En el lado receptor, un nodo colector de registros de Analytics ejecuta un exportador de registros que acepta estas conexiones y puede definir colectores locales y remotos, así como reglas de exportación, para almacenar o reenviar los registros antes de que el controlador de Analytics los incorpore. Los administradores de inquilinos acceden a una funcionalidad equivalente desde Concerto mediante perfiles de registro reutilizables, que agrupan colectores de distintos servicios. Las plantillas IPFIX de VOS también incluyen campos de proveedor e Versa es —ID de inquilino, ID de aplicación— para el análisis multinquilino.

Preguntas frecuentes

¿Cuál es la diferencia entre IPFIX y NetFlow?

IPFIX es la evolución, normalizada por la IETF, de la versión 9 de NetFlow, una tecnología propia de Cisco; conserva la misma estructura autodescriptiva basada en plantillas, pero es independiente del proveedor y extensible mediante un conjunto de campos registrados en la IANA. Debido a ese origen, a veces se denomina informalmente a IPFIX «NetFlow versión 10».

¿Por qué utiliza IPFIX plantillas en lugar de un formato de registro fijo?

Las plantillas permiten al exportador definir el orden y la longitud de los campos una sola vez y, a continuación, enviar únicamente los valores, lo cual resulta más eficiente que repetir las etiquetas en cada registro. Además, permiten a los recopiladores analizar el flujo de datos de cualquier exportador, ya sea estándar o ampliado por el proveedor, sin necesidad de codificar de antemano la estructura de campos específica de dicho proveedor.

¿Qué protocolos de transporte utiliza IPFIX?

IPFIX puede ejecutarse a través de UDP, TCP o SCTP; el exportador y el colector acuerdan utilizar uno de ellos para una sesión determinada. La funcionalidad de exportación de registros de VOS admite conexiones UDP y TCP entre dispositivos y nodos de Analytics o colectores compatibles con NetFlow, dependiendo de cómo esté configurado el colector.

¿Pueden los registros IPFIX enviarse a más de un colector?

Sí. VOS admite grupos de recopiladores para garantizar una alta disponibilidad, en los que los registros se transmiten a un miembro activo cada vez, así como listas de grupos de recopiladores que encadenan varios grupos entre sí para que los mismos registros lleguen a varios destinos independientes —por ejemplo, un clúster de Analytics y un SIEM de terceros— al mismo tiempo.

¿IPFIX transmite datos de seguridad o solo estadísticas de tráfico?

Ambas cosas. Más allá de las estadísticas básicas de flujo, como direcciones, puertos y recuentos de bytes, las exportaciones de VOS IPFIX incluyen tipos de registros tales como eventos de cortafuegos, IDP y filtrado de URL, etiquetados con campos del proveedor como el ID de la aplicación y el ID del inquilino, de modo que los recopiladores reciben información sobre el contexto de seguridad junto con el volumen de tráfico.

Más información sobre IPFIX

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre IPFIX, te conviene echar un vistazo a lo siguiente.