Analyse de flux réseau : Nfsen Nfdump et Fprobe

Transcription

1 Lycée Le Castel Analyse de flux réseau : Nfsen Nfdump et Fprobe Quentin Baptier

2 Sommaire Mise en situation... 3 Architecture réseau dans sa globalité de GSB... 3 Description de l existant... 3 Objectif... 3 Outils mis à notre disposition... 4 Schéma réseau de la solution proposée... 4 Tableau récapitulatif du plan d'adressage... 4 L'analyse de flux réseau... 5 Définition... 5 Nfsen et Nfdump... 5 Définition... 5 Maquette de la solution proposé... 6 Configuration de la solution... 6 Automatisation de l'installation de la solution via Ansible... 9 Test... 9 Conclusion

3 Mise en situation Architecture réseau dans sa globalité de GSB Le laboratoire GSB possède : Description de l existant Un serveur Windows 2008 R2 possédant le rôle de contrôleur de domaine Un serveur hébergeant les applications Un serveur de messagerie Un serveur de sauvegarde 2 serveurs d'infrastructure (DNS) Un serveur web se trouvant dans une DMZ 4 Sous réseaux afin de sécuriser celui-ci Un Firewall Un serveur DHCP utilisé comme routeur. Une borne wifi Objectif L'objectif sera de mettre en place des sondes Fprobe sur le réseau afin de récupérer des données sur le trafic du réseau qui seront envoyé à un serveur pouvant traiter ces données et disposant du service apache2 avec Nfsen afin de visualiser le trafic réseau. 3

4 Outils mis à notre disposition Afin de mettre en place cet solution nous utiliserons comme outils un serveur Linux sous Debian Wheezy (s-sonde) disposant du service apache2 de Nfsen et Nfdump. Nous mettrons en place une des sondes Fprobe aux endroits stratégiques afin d'analyser le flux réseau. (r-int et r-ext) Schéma réseau de la solution proposée Tableau récapitulatif du plan d'adressage Nom de machine Adressage Réseau Nom d'alias Adr. admin r-ext N-linkv r-ext N-ext r-ext N-dmz r-ext N-link r-int N-link r-int N-infra r-int N-user r-int N-wifi s-web-ext N-dmz s-dns-ext N-dmz s-infra N-infra wpad s-proxy N-infra s-appli N-infra s-backup N-infra s-puppet N-infra s-win N-infra s-mess N-infra s-mon N-infra s-sonde N-infra s-cli N-user s-adm N-adm

5 L'analyse de flux réseau Définition L'analyse de flux est par définition l'observation de tous les flux transitant sur le réseau. Pour ce faire, plusieurs méthodes peuvent être envisagées des sondes sont placées sur le réseau ou les équipements sont eux-mêmes capables de fournir les informations. Toutes valeurs remontées et traitées sont des indicateurs important pour l'entreprise. Ces solutions sont souvent coûteuses à mettre en œuvre : compétences internes, outils spécifiques à mettre en œuvre, ressources serveurs ou encore technologies. Certains format sont propriétaires. Comme pour Cisco avec Netflow ou Juniper avec j-flow. Une normalisation sur l'export de données est basée sur la version 9 de NetFlow. En plus des indicateurs, il faut aussi disposer d'un collecteur d'informations, son rôle est de collecter les informations envoyées par les éléments du réseau et de les compiler afin d'afficher les informations désirées, sous des formes exploitables. Les restitutions des analyses de flux sont très intéressantes tel Nfsen. Présentées sous forme de tableaux de bord, elles permettent une lecture de la performance du réseau. Elles peuvent indiquer le type de consommation par utilisateur, par application et par type de flux. Du coup, l'analyse des flux ne se limite pas uniquement aux flux réseaux, elle permet de s'étendre au domaine applicatif. Nfsen et Nfdump Définition NfSen permet de générer des graphes qui correspondent au trafic réseau circulant sur des éléments actifs (commutateurs, routeurs, serveurs). Il est nécessaire que ces éléments supportent le protocole Netflow ou le protocole Sflow, pour récolter des données de trafic. NfSen se présente sous la forme d'une interface web permettant la consultation du volume des données de trafic des éléments actifs qui sont récupérées par le collecteur associé à Nfdump. 5

6 Maquette de la solution proposé Configuration de la solution Nfsen à besoin d'un serveur Web et d'autres composants additionnels : #aptitude install flex apache2 libapache2-mod-php5 php5-common rrdtool libmailtools-perl librrdsperl libio-socket-ssl-perl libsocket6-perl librrd-dev ntp gcc make On créé un dossier où l'on pourra télécharger Nfsen et Nfdump #mkdir /src Ensuite on télécharge Nfdump, décompresse l'archive et on l'installe : #cd /src # wget #tar -zxvf nfdump tar.gz #cd nfdump / #./configure --enable-nfprofile #make;make install Nfdump -V permet de voir la version de Nfdump et donc vérifier si il c'est bien installé. 6

7 Ensuite nous installons Nfsen : /src# wget #tar -zxvf nfsen tar.gz #cd nfsen-1.3.7/ On copie le fichier etc/nfsen-dist-conf en etc/nfsen-conf car ce fichier est appelé lors de l'installation de Nfsen #cp etc/nfsen-dist.conf etc/nfsen.conf Ensuite on modifie le fichier de configuration #vim etc/nfsen.conf Extrait du fichier de configuration : # user and group of the web server process # All netflow processing will be done with this user $WWWUSER = "www-data"; $WWWGROUP = "www-data"; ~~~ %sources = ( 'R-ext' => { 'port' => '9995', 'col' => '#0000ff', 'type' => 'netflow' }, 'R-int' => { 'port' => '9996', 'col' => '#ff0000' 'type' => 'netflow' }, ); On ajoute les utilisateurs nécessaire au fonctionnement de Nfsen #useradd -m netflow #sudo passwd netflow #sudo usermod -G www-data netflow Nous créons les dossiers indispensable à l'installation de Nfsen et à son fonctionnement #mkdir /var/www/nfsen #mkdir /data #sudo chown -R netflow:www-data /var/www/nfsen 7

8 On rajoute un Vhost dans apache2 # vim /etc/apache2/site-avaible/default Vhost apache : <Directory /var/www/nfsen> DirectoryIndex disabled DirectoryIndex nfsen.php Options Indexes FollowSymLinks MultiViews AllowOverride None Order allow,deny allow from all </Directory> Enfin on lance le script qui va installer Nfsen : /src/nfsen-1.3.7#./install.pl etc/nfsen.conf On créé un lien symbolique afin de lancer Nfsen comme un daemon automatiquement au démarrage du serveur /src/nfsen-1.3.7# ln -s /data/nfsen/bin/nfsen /etc/init.d/nfsen /src/nfsen-1.3.7# update-rc.d nfsen defaults Enfin on attribue les droits afin de lancer Nfsen et on démarre Nfsen /src/nfse1.3.7# chmod 775 /data/nfsen /src/nfse1.3.7# /etc/init.d/nfsen start Il nous reste plus qu'à installer les sondes sur les machines où l'on veut analyser le trafic : #aptitude install fprobe puis configurer fprobe afin d'écouter l'interface que vous voulez #/usr/sbin/fprobe -i eth_interface -fip ip_collecteur:port-ecoute Enfin il est possible de mettre un paramètre promiscuité dans le fichier de configuration /etc/network/interface à l'interface où vous récupérez les données afin de pouvoir récupérer les données destinées aux autres interfaces. ifconfig eth_interface pomisc 8

9 Automatisation de l'installation de la solution via Ansible Afin de nous faciliter l'installation et la configuration de l'infrastructure nous allons automatiser cela avec Ansible, à l'aide de script en yml et bash et des fichiers de configurations préconfiguré. Test A partir d'un poste client dans le réseau N-user avec un navigateur Internet nous interrogerons le serveur s-sonde afin de visualiser le trafic réseau. Pour générer du trafic nous mettrons des paquets à jour sur différents serveurs Conclusion Grâce à cette solution mise en place nous pouvons maintenant sans frais analyser notre trafic réseau afin d'optimiser celui-ci pour éviter les goulets d'étranglements et voir les services qui consomment le plus de bande passante. 9