Qu'est-ce que l'IPFIX ?

IP Flow Information Export (IPFIX) est un protocole standard de l'IETF permettant d'exporter des enregistrements de flux et de journaux depuis des périphériques réseau vers des systèmes de collecte. Dérivé de la version 9 de NetFlow de Cisco, il définit un format binaire basé sur des modèles que les périphériques VOS utilisent pour transmettre en continu le trafic et les données de journaux vers les nœuds d'analys Versa , ainsi que vers des collecteurs tiers compatibles NetFlow.

Points clés à retenir

• IPFIX est le format standard de l'IETF pour l'exportation de données de flux et de journaux.
• Il est issu du format d'exportation propriétaire NetFlow version 9 de Cisco.
• Les modèles décrivent les champs des enregistrements ; les collecteurs n'ont donc pas besoin de connaissances préalables.
• Les appareils VOS exportent des données IPFIX vers les nœuds d'analys Versa s et les collecteurs NetFlow.
• IPFIX est parfois appelé « NetFlow version 10 » en raison de cette filiation.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · IPFIX et Versa · FAQ

Pourquoi IPFIX est-il important ?

Les opérations réseau et de sécurité reposent sur la visibilité des flux de trafic, et cette visibilité ne peut s'étendre que si les appareils de différents fournisseurs exportent ces données dans un format commun. Avant l'arrivée d'IPFIX, les formats d'exportation des flux étaient pour la plupart propriétaires ; ainsi, un collecteur conçu pour les enregistrements d'un fournisseur était souvent incapable d'analyser ceux d'un autre. La normalisation du format sous l'égide de l'IETF a permis aux plateformes d'analyse, aux SIEM et aux collecteurs NetFlow d'accepter les données de flux provenant de n'importe quel exportateur conforme, sans avoir recours à une analyse personnalisée.

La conception basée sur des modèles d’IPFIX revêt également une importance opérationnelle : comme un périphérique envoie une seule fois la structure de l’enregistrement et la réutilise, les exportateurs peuvent ajouter des champs (une balise de sécurité, un identifiant d’application) sans perturber le fonctionnement des collecteurs plus anciens, qui ignorent simplement ce qu’ils ne reconnaissent pas. C’est grâce à cette extensibilité qu’IPFIX reste le format d’exportation par défaut pour l’analyse des flux, la planification des capacités et les enquêtes de sécurité au sein de structures SD-WAN multifournisseurs, permettant de générer des rapports sur des centaines de périphériques de succursales simultanément.

Qu'est-ce que l'IPFIX ?

IPFIX définit deux types d'enregistrements qui circulent ensemble dans le même flux. Un enregistrement de modèle décrit la structure des données qui suivent : quels champs sont présents, dans quel ordre et combien d’octets chacun occupe. Un enregistrement de données transporte ensuite les valeurs réelles – adresses source et destination, ports, protocole, nombre d’octets et de paquets – correspondant au modèle le plus récemment envoyé avec cet identifiant. Comme le modèle circule avec les données, un collecteur peut analyser le flux de n’importe quel exportateur sans avoir à coder en dur la structure des champs à l’avance.

Les champs proviennent d'un registre d'éléments d'information géré par l'IANA, ainsi que d'éléments spécifiques aux fournisseurs définis par les exportateurs eux-mêmes. Un processus d'exportation sur le périphérique met en mémoire tampon et transmet les enregistrements ; un processus de collecte à l'autre bout les reçoit et les stocke, généralement via UDP, TCP ou SCTP. Le protocole IPFIX est défini dans la RFC 7011 de l'IETF, tandis que le registre des champs est défini dans la RFC 7012.

Types d'IPFIX

Au-delà des enregistrements de données de base, IPFIX définit un modèle d'options pour les métadonnées relatives au processus d'exportation lui-même (taux d'échantillonnage ou identité de l'exportateur) plutôt qu'au trafic. Cela permet à un collecteur d'interpréter correctement les données échantillonnées sans avoir recours à un canal secondaire distinct.

La gestion des versions revêt une importance pratique. La version 9 de NetFlow de Cisco a introduit le concept de modèle ; IPFIX a normalisé ce modèle sous l’égide de l’IETF, ce qui explique pourquoi on l’appelle familièrement « NetFlow version 10 ». Les fournisseurs peuvent toujours étendre le modèle avec des éléments d’information propriétaires tout en conservant la compatibilité au niveau de la couche physique avec les collecteurs génériques, puisque les champs non reconnus sont simplement ignorés. Les implémentations des collecteurs varient quant aux versions de modèles qu’elles acceptent ; il est donc recommandé de vérifier au préalable la compatibilité entre un exportateur et un collecteur inconnu.

IPFIX & Versa

Les appareils VOS exportent les journaux opérationnels et de sécurité au format IPFIX partout où des données de flux à haut débit doivent parvenir à un collecteur sans personnalisation spécifique au fournisseur. La fonctionnalité d’exportation de journaux (LEF) transfère les journaux vers les nœuds collecteurs de journaux Analytics et vers des collecteurs NetFlow tiers via des connexions LEF, configurées à l’aide d’un modèle d’exportation de journaux, d’un collecteur et d’un profil LEF qui associe une fonctionnalité ou un service à une destination. Côté réception, un nœud collecteur de journaux Analytics exécute un exportateur de collecteur de journaux qui accepte ces connexions et peut définir des collecteurs locaux et distants ainsi que des règles d’exportation pour stocker ou transférer les journaux avant que le pilote Analytics ne les ingère. Les administrateurs de locataires bénéficient d’une fonctionnalité équivalente depuis Concerto via des profils de journalisation réutilisables, qui regroupent des groupes de collecteurs entre différents services. Les modèles IPFIX VOS contiennent également des champs spécifiques au fournisseur d’ Versa s (ID de locataire, ID d’ ) pour l’analyse multi-locataires.

Questions fréquentes

Quelle est la différence entre IPFIX et NetFlow ?

IPFIX est la version normalisée par l'IETF du protocole propriétaire NetFlow version 9 de Cisco ; il conserve la même structure autodécrivante basée sur des modèles, mais est indépendant des fournisseurs et extensible grâce à un ensemble de champs enregistrés auprès de l'IANA. En raison de cette origine, IPFIX est parfois appelé de manière informelle « NetFlow version 10 ».

Pourquoi IPFIX utilise-t-il des modèles plutôt qu'un format d'enregistrement fixe ?

Les modèles permettent à un exportateur de définir une seule fois l'ordre et la longueur des champs, puis de n'envoyer par la suite que les valeurs, ce qui est plus efficace que de répéter les libellés pour chaque enregistrement. Cela permet également aux collecteurs d'analyser le flux de n'importe quel exportateur, qu'il soit standard ou étendu par un fournisseur, sans avoir à coder en dur à l'avance la structure de champs spécifique à ce fournisseur.

Quels protocoles de transport IPFIX utilise-t-il ?

IPFIX peut fonctionner sur UDP, TCP ou SCTP ; l'exportateur et le collecteur s'accordent sur l'un de ces protocoles pour une session donnée. La fonctionnalité d'exportation des journaux VOS prend en charge les connexions UDP et TCP entre les périphériques et les nœuds Analytics ou les collecteurs compatibles NetFlow, selon la configuration du collecteur.

Les journaux IPFIX peuvent-ils être envoyés vers plusieurs collecteurs ?

Oui. VOS prend en charge les groupes de collecteurs pour assurer une haute disponibilité, dans lesquels les journaux sont transmis en continu à un seul membre actif à la fois, ainsi que les listes de groupes de collecteurs qui enchaînent plusieurs groupes afin que les mêmes journaux parviennent simultanément à plusieurs destinations indépendantes – par exemple, un cluster Analytics et un SIEM tiers.

Le protocole IPFIX transporte-t-il des données de sécurité ou uniquement des statistiques de trafic ?

Les deux. Au-delà des statistiques de base sur le trafic, telles que les adresses, les ports et le nombre d'octets, les exportations VOS IPFIX incluent des types de journaux tels que les événements liés au pare-feu, à l'IDP et au filtrage d'URL, associés à des champs propres au fournisseur, comme l'identifiant de l'application et l'identifiant du locataire. Les collecteurs reçoivent ainsi des informations sur le contexte de sécurité en plus des données relatives au volume de trafic.

En savoir plus sur IPFIX

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à IPFIX, voici quelques liens qui pourraient vous intéresser.