IPFIXとは何ですか？

IPフロー情報エクスポート（IPFIX）は、ネットワークデバイスから収集システムへフローおよびログレコードをエクスポートするためのIETF標準プロトコルです。CiscoのNetFlowバージョン9を基に開発されたこのプロトコルは、VOSデバイスがVersa アナリティクスノードやサードパーティ製のNetFlow互換コレクターへトラフィックおよびログデータをストリーミングするために使用する、テンプレートベースのバイナリ形式を定義しています。

主なポイント

• IPFIXは、フローデータおよびログデータをエクスポートするためのIETF標準フォーマットです。
• これは、シスコ独自のNetFlowバージョン9エクスポート形式から発展したものです。
• テンプレートにはレコードのフィールドが記述されているため、収集者は事前の知識を必要としません。
• VOSデバイスは、IPFIXをVersa アナリティクスノードおよびNetFlowコレクターにエクスポートします。
• IPFIXは、その系譜から「NetFlow Version 10」と呼ばれることもあります。

このページの内容： その重要性 ・ 仕組み ・ 種類 · IPFIX およびVersa · よくある質問

IPFIXはなぜ重要なのでしょうか？

ネットワークおよびセキュリティ運用は、トラフィックフローの可視性に依存しており、その可視性は、異なるベンダーのデバイスが共通のフォーマットでデータをエクスポートして初めて拡張性を持つようになります。IPFIXが登場する前は、フローエクスポートのフォーマットは主に独自仕様であったため、あるベンダーのレコード用に構築されたコレクターは、別のベンダーのデータを解析できないことがよくありました。IETFの下でフォーマットが標準化されたことで、分析プラットフォーム、SIEM、NetFlowコレクターは、準拠したエクスポーターからのフローデータを、独自の解析処理を行うことなく受け入れることができるようになりました。

IPFIXのテンプレートベースの設計は、運用面でも重要な役割を果たしています。デバイスがレコードのレイアウトを一度送信すれば、それを再利用できるため、エクスポーターはセキュリティタグやアプリケーション識別子などのフィールドを追加しても、認識できない項目を単に無視するだけの旧式のコレクターの動作を妨げることがありません。この拡張性こそが、IPFIXが、数百台の支店デバイスを同時にレポート対象とするマルチベンダーSD-WANファブリックにおいて、フロー分析、キャパシティプランニング、およびセキュリティ調査のデフォルトのエクスポート形式であり続けている理由です。

IPFIXとは何ですか？

IPFIX では、同じストリーム内で一緒に流れる 2 種類のレコードが定義されています。テンプレートレコードは、後続するデータの構造（どのフィールドが存在するか、その順序、各フィールドが占めるバイト数）を記述します。一方、データレコードは、そのIDを持つ直近で送信されたテンプレートに一致する実際の値（送信元および宛先アドレス、ポート、プロトコル、バイト数、パケット数）を伝送します。テンプレートはデータと共に伝送されるため、コレクタはフィールドレイアウトを事前にハードコーディングすることなく、どのエクスポーターのストリームでも解析することができます。

フィールドは、IANAが管理する情報要素レジストリに加え、エクスポーターが独自に定義するベンダー固有の要素から構成されます。デバイス上のエクスポートプロセスはレコードをバッファに格納して送信し、遠端の収集プロセスは、通常UDP、TCP、またはSCTPを介してそれらを受信して保存します。IPFIXはIETF RFC 7011で規定されており、フィールドレジストリはRFC 7012で定義されています。

IPFIXの種類

IPFIXでは、基本的なデータレコードに加え、トラフィックに関する情報ではなく、エクスポートプロセス自体（サンプリングレートやエクスポーターの識別情報など）に関するメタデータ用のオプションテンプレートが定義されています。これにより、コレクターは別途のサイドチャネルを必要とせずに、サンプリングされたデータを正しく解釈できるようになります。

実務上、バージョン管理は重要です。シスコのNetFlowバージョン9でテンプレートという概念が導入され、IPFIXがIETFのガバナンスの下でそのモデルを標準化したため、非公式にNetFlowバージョン10と呼ばれています。認識されないフィールドは単にスキップされるため、ベンダーは汎用コレクターとのワイヤ互換性を維持しつつ、独自の情報要素（Information Elements）を用いてテンプレートを拡張することができます。 コレクターの実装によって、受け入れ可能なテンプレートバージョンが異なるため、エクスポーターと慣れないコレクターを組み合わせる場合は、事前に確認しておく価値があります。

IPFIX &Versa

VOS デバイスは、ベンダー固有のカスタマイズを行うことなく、大量のフローデータをコレクターに送信する必要がある場合、運用ログおよびセキュリティログを IPFIX 形式でエクスポートします。ログエクスポート機能（LEF）は、ログエクスポートテンプレート、コレクター、および機能やサービスを宛先に紐付けるLEF プロファイルを通じて構成された LEF 接続を介して、Analytics ログコレクターノードやサードパーティ製の NetFlow コレクターにログを転送します。 受信側では、Analyticsログコレクターノードがログコレクターエクスポーターを実行し、これらの接続を受け入れます。また、Analyticsドライバーがログを取り込む前に、ローカルおよびリモートのコレクターやエクスポータールールを定義して、ログを保存または転送することができます。テナント管理者は、サービス横断的なコレクターグループを束ねた再利用可能なロギングプロファイルを通じて、Concertoから同等の機能を利用できます。VOS IPFIXテンプレートには、マルチテナント分析のために、Versa のベンダーフィールド（テナントID、アプリケーションID）も含まれています。

よくある質問

IPFIXとNetFlowの違いは何ですか？

IPFIXは、シスコの独自規格であるNetFlow Version 9をIETFが標準化したものであり、テンプレートベースの自己記述型構造はそのまま維持しつつ、ベンダー中立であり、IANAに登録されたフィールドセットを通じて拡張可能です。こうした経緯から、IPFIXは非公式にNetFlow Version 10と呼ばれることもあります。

IPFIXは、なぜ固定のレコード形式ではなくテンプレートを使用しているのですか？

テンプレートを使用すると、エクスポーターはフィールドの順序と長さを一度定義するだけで済み、その後は値のみを送信すればよいため、レコードごとにラベルを繰り返し指定するよりも効率的です。また、コレクターは、標準仕様かベンダー拡張仕様かを問わず、あらゆるエクスポーターのストリームを解析できるようになり、そのベンダー固有のフィールドレイアウトを事前にハードコーディングする必要がなくなります。

IPFIXではどのような転送プロトコルが使用されていますか？

IPFIXはUDP、TCP、またはSCTP上で動作可能であり、エクスポーターとコレクターは、特定のセッションについていずれか1つを合意します。VOSのログエクスポート機能は、コレクターの設定に応じて、デバイスとAnalyticsノード、またはNetFlow互換のコレクター間のUDPおよびTCP接続をサポートしています。

IPFIXログは複数のコレクターに送信できますか？

はい。VOSは、高可用性を実現するためのコレクターグループをサポートしています。この仕組みでは、ログは一度に1つのアクティブなメンバーにストリーミングされます。また、複数のグループを連鎖させるコレクターグループリストもサポートしており、これにより、同じログが複数の独立した宛先（たとえば、Analyticsクラスターやサードパーティ製のSIEMなど）に同時に送信されるようになります。

IPFIXにはセキュリティデータが含まれていますか、それともフロー統計のみですか？

その両方です。VOS IPFIXのエクスポートデータには、アドレス、ポート、バイト数といった基本的なトラフィック統計情報に加え、ファイアウォール、IDP、URLフィルタリングイベントなどのログタイプが含まれており、アプリケーションIDやテナントIDといったベンダー固有のフィールドでタグ付けされているため、コレクターはトラフィック量とともにセキュリティコンテキストも取得できます。

IPFIXの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

IPFIXについてお読みになっているなら、次はこれらもぜひチェックしてみてください。