ПО для сбора и анализа Sflow

[dmitrii.markov]

Подскажите что можно использовать и используется вами в продуктовой среде для анализа sflow, нашел несколько вариантов но NAG SNR-S2995G подружить не получилось, мб есть кейс с документацией и положительным опытом использования?

[sdy_moscow]

самопис

[jffulcrum]

15 часов назад, dmitrii.markov сказал:

подружить не получилось

Что именно не получилось? Конфигурация агента проста: 12-Flow Monitor Configuration.pdf (nag.wiki) , глава 3. Конфигурация сборщика зависит конечно от софта, вот для pmacct: pmacct/QUICKSTART at master · pmacct/pmacct · GitHub , глава XIII

 

Сборщики все такие...написаны и документированы профессиональными программистами. Без недельного дайвинга в "продукт" ничего понять и заставить работать не выйдет.

[nixx]

для сбора - https://github.com/phaag/nfdump

сам пользуюсь для netflow, также умеет и sflow, автор в настоящее время хорошо идет на контакт (если че-то не заработает)

кое-какой анализ тоже умеет, но насколько оно вас удовлетворит - не знаю. почитайте ман, может поможет оценить.

[rover-lt]

В 03.05.2024 в 07:15, dmitrii.markov сказал:

Подскажите что можно использовать и используется вами в продуктовой среде для анализа sflow

а чем "продуктовая" среда отличается от более другой?

[vmx]

Quote

что можно использовать

Опенсорсное?

Кроме pmacct/nfdump которых упомянули есть еще https://github.com/akvorado/akvorado с готовым веб-интерфейсом, есть https://github.com/netsampler/goflow2 с внешними визуализаторами.

 

Quote

используется вами

Мы делаем свое, тоже опенсорсное. Недавно добавили поддержку sFlow:

https://github.com/vmxdev/xenoeye/blob/master/EXTRA.ru.md#sflow

 

Quote

подружить не получилось

sFlow кстати довольно замороченный протокол. Его несколько версий, внутри версий еще разные типы. Он может отдавать счетчики и сэмплы (куски пакетов). Насколько я понимаю, счетчики используют не часто (если вообще используют), в основном анализируют как раз эти сэмплы.

 

Мы добавили к анализу sFlow парсеры DNS и SNI, можно получать информацию о доменах (A, AAAA-записях, SNI).

Павел Одинцов (автор FastNetMon https://github.com/pavel-odintsov/fastnetmon ) вроде тоже собирался добавить парсинг некоторых протоколов в sFlow, правда не знаю чем это закончилось.

[ne-vlezay80]

правда, это коллекторы. А pmacct - это сенсор и много чего ещё...