# Usar NfSen para identificar los nodos más activos - Gestión de Redes

# Introducción

## Metas

- Usar NfSen para encontrar qué hosts estan generando la mayor parte de trafico de entrada y de salida de la red

## Suposiciones

El enrutador esta enviando registros netflow a su servidor srv1-campusY.ws.nsrc.org, y el servidor ejecuta NfSen para colectar estos datos. Si esta trabajando en grupo, entonces todos deben apuntar su navegador web al servidor srv1-campusY:

http://srv1-campusX.ws.nsrc.org/nfsen/nfsen.php

# Generar un poco de trafico

En primer lugar, tenemos que generar algo de trafico que pase a través de su router. En cualquiera de los PCs (hostX-campusY) (no tiene que ser donde esta funcionando NFSen), Iniciar sesion y escriba los siguientes comandos:

    $ cd /tmp
    $ wget http://srv1-campus[Y+1].ws.nsrc.org/downloads/BigFile
    $ rm BigFile

Nota: “campus[Y+1]” significa que vas a bajar el archivo BigFile desde el servidor srv1 dese su campus vecino. Así, por campus1 sería campus2, campus 2 sería campus3, etc… Y, campus6 debería usar campus1.

Tomará alrededor de 5 minutos antes de que se muestre un aumento en NFSen.

# Explorando registros de flujo

Ahora vamos a usar NfSen para explorar los flujos de trafico en la red, con el objetivo de averiguar quien ha descargado la mayor cantidad de datos. Mire cuidadosamente en la salida generada en cada paso - pedir a un instructor explicar si no entiende lo que ve.

## Vaya a la pagina Detalle

La página de inicio de NfSen muestra una matriz de graficos: flujos por segundo a la izquierda, paquetes por segundo en el medio, los bits por segundo a la derecha (depende en el tamaño de la ventana de su navegador de web). Hacer clic en el grafico Bits/s (bit por segundo) para llegar a la pagina de Detalle.

## Seleccione ventana de tiempo (time window)

Cambiar de “Single Timeslot” a “Time Window”:

Una vez hecho esto, la flecha de seleccion vertical y la linea en la ventana grafica se puede dividir.

Tire de la mitad izquierda de la flecha hacia la izquierda y de la mitad derecha a la derecha para seleccionar el periodo de tiempo de interes. Entonces usted deberia ver algunas estadisticas de resumen aparecer en la tabla debajo del grafico, por el periodo de tiempo que haya seleccionado:

Summary statistics

## Lista de flujos individuales

Seleccione “List Flows”, asegurese de que ninguna de las casillas “Aggregate” estén activadas y, a continuacion, haga clic en `process`. Esto mostrará algunos flujos al comienzo del periodo de tiempo.

List flows

Aumentar el limite de 20 flujos hasta 100 flujos. Observe que la mayor parte de trafico de la red se compone de un gran numero de flujos muy pequeños - por ejemplo, una consulta/respuesta DNS sera dos flujos, uno desde el cliente al servidor DNS, y uno de vuelta.

Al seleccionar “bi-directional”, usted puede con Nfsen conseguir asociar los flujos de entrada y de salida en una sola linea:

Bi-directional flows

Sin embargo, todavia cuesta demasiado trabajo usar esta vista para buscar trafico interesante. Desmarque la casilla “bi-directional” y reponga el limite de flujos a 20 antes de continuar.

## Flujos desde/hacia un host

Si sabemos que host queremos examinar, podemos aplicar un filtro para mostrar solo los flujos desde y hacia ese host. Hacer esto mediante la introduccion de “host 100.68.X.Y” la caja de filtro, y despues ‘presionar’ proceso de nuevo. (Reemplace 100.68.X.Y con la direccion de uno de sus equipos, por ejemplo host4 en campus3 serīa 100.68.3.134).

Flows to and from one host

Esto es un poco mejor, pero todavia tendria que buscar a traves de un monton de pequeños flujos para encontrar algo significativo. Tenemos que tomar un enfoque diferente.

# Flujos más grandes

Lo otro que podemos hacer es conseguir que NFSen ordene los flujos segun el número de bytes. Quite cualquier filtro de la caja de filtro, seleccione “Stat TopN”, las estadisticas “Flow Records”, orden por “Bytes”. Asegurese de que todas las casillas de agregados estan sin activar, a continuacion, pulse `process`

Find top flows by bytes
Output: top flows by bytes

Esta es una mejora definitiva, ya que los flujos con el mayor numero de bytes se muestran primero. Sin embargo hay un problema - todavia estamos viendo flujos individuales. Es posible que muchos pequeños flujos hacia la misma máquina se sumen a una gran cantidad de trafico, pero no los veriamos en la parte superior de la lista.

# El tráfico entrante agrupado por la dirección IP del receptor

Lo que queremos ver es una sola linea para cada host en la red, que muestre la cantidad total de tráfico entregado a ese host.

Para hacer esto, Stat “DST IP Address”, ordenar por “bytes”.

Group flows by DST IP Address

Esto está mucho más cerca de lo que queremos: hay una línea para cada dirección IP de destino, y que estan clasificadas por el total de bytes, el mayor primero.

Pero todavia hay un problema - ¿puede ver cuál? Estamos viendo una mezcla de los flujos de entrada (donde la IP de destino esta dentro de la red) y de flujos salientes (cuando la IP de destino esta en la Internet). Solo estamos interesados en los flujos de entrada, por lo que se aplica un filtro que solo muestra el trafico a la red de su grupo: “dst net 100.68.X.0/24” (reemplace X con el número de su grupo):

Flows to local network, grouped by DST IP Address
Output: Flows to local network, grouped by DST IP Address

Por fin tenemos lo que queremos. El primer registro que ves deberia decir la maquina local que ha descargado mas datos en el periodo seleccionado.

## Tráfico saliente agrupado por la dirección IP del emisor

Pregunta: ¿qué cambios hay que hacer a esta consulta para averiguar que maquinas de la red estan subiendo la mayor cantidad de datos a Internet?

# Análisis de trafico en un solo host

Ahora que sabemos que host ha descargado mas datos, podriamos querer ver desde donde ha estado descargando.

Vamos a empezar mirando los mejores flujos hacia ese host. Cambie el filtro “dst host 100.68.X.Y” (la direccion IP que acaba de encontrar). A continuacion, seleccione las estadisticas “Flow Records”, ordenadas por “bytes”, y ‘proceso’.

Largest flows to one host

Ahora debe ver los flujos de entrada a ese host, el mayor primero. Pero, de nuevo, solo estamos viendo grandes flujos individuales; una coleccion de pequeños flujos puede sumar a una gran cantidad de trafico.

Ya que solo estamos viendo los registros de flujo a una direccion IP de destino particular, podemos agrupar los registros por la direccion IP de origen.

Flows to one host, grouped by SRC IP address
Output: Flows to one host, grouped by SRC IP address

Y ahora tenemos una fila para cada direccion IP de donde este host ha estado descargando, con el numero total de bytes descargados de cada IP, el mayor total primero.

## Información de la dirección IP

Al hacer clic en una direccion IP, podra obtener informacion del DNS inverso y del whois.

Whois information

# Ejercicio Adicional: agregando flujos

NFSen ofrece algunas otras maneras de resumir los flujos, utilizando los Aggregate checkboxes. En este ejemplo vamos a ver de nuevo en el trafico de entrada a la red.

Al hacer clic en una o mas de las casillas de agregados, NFSen combina todas flujos que comparten los mismos valores del atributo (s) que ha seleccionado.

Para comenzar este ejercicio, configurar el filtro para “dst net 100.68.X.0/24” (X = su grupo). Seleccione “Stat TopN” Estadisticas “Flow Records”, ordenados por “bytes”. A continuacion, intente los siguientes agregados, recordando hacer clic en `process` despues de cada uno.

- Marque “proto”. Usted debe obtener una sola fila para TCP, UDP e ICMP, mostrando la cantidad total de trafico que utiliza cada protocolo. A veces esto puede mostrar otros protocolos que estan activos en la red (por ejemplo, el protocolo 50 = IPSEC ESP, en Linux el archivo ‘/etc/protocols’ tiene una lista de los servicios)

- Marque tanto “proto” y “srcport”. Esto le dice a NFSen que combine conjuntamente flujos que tienen el mismo proto * y * el mismo srcport. Dependiendo de la actividad que ha estado sucediendo, es posible que vea una linea que da el total para el puerto TCP 80, una linea para el puerto TCP 443, una linea para el puerto UDP 53, y asi sucesivamente.

- Marque “SrcIP” por si mismo. Esto le da una fila para cada direccion IP de origen/distinto, y es lo mismo que seleccionar Estadistica SRCIP.

- Marque tanto “SrcIP” y “dstip”. Usted recibira una fila para cada par unico de SrcIP y dstip visto, con el trafico total entre esos dos extremos.

Como cambiar el filtro para mirar el trafico de salida, en lugar de trafico de entrada

Si usted tiene un router con una tabla BGP, puede agregar registros netflow por numero AS. Esta es una manera util para saber con que redes esta intercambiando la mayor parte del trafico.