Решил собрать в одну заметку все известные мне бесплатные способы по учёту трафика в локальной сети. То есть у вас есть какой-то шлюз, локальная сеть за ним (или сеть VPN клиентов) и вы хотите получать статистику по сетевой активности, исходящей из сети. Желательно с какой-то сводной статистикой, с историческими данными и с разбивкой по типам и направлению трафика.

Когда возникает такая задача, то первое, что приходит в голову, взять продукт, позволяющий анализировать протокол NetFlow. Практически все шлюзы поддерживают перенаправление Netflow на какой-то приёмник, где он может быть обработан и упорядочен. Известные мне бесплатные решения по этой теме:

🔹Elastiflow - решение на базе своего коллектора ElastiFlow + ELK Stack для хранения метрик + Grafana для визуализации. Со времени моей заметки изменилась система лицензирования. Теперь надо обязательно получать бесплатную Basic лицензию с некоторыми ограничениями. Они описаны в тарифных планах.

🔹Akvorado - ещё один Netflow collector с хранением данных в Elasticsearch. Неплохое функциональное решение, полностью бесплатное. Написано одним человеком, им же и поддерживается. Можно посмотреть demo. Платной версии нет вообще.

🔹FlowViewer - очень старое легковесное решение для разбора Netfow потоков. Работает на базе сборщика Flow-tools и веб интерфейса на базе Perl + CGI + HTML. Для хранения используется обычный каталог в файловой системе и бинарные файлы. То есть это максимально простое и легковесное решение из всех описанных а заметке.

🔹Ntopng - известное решение по анализу трафика. Используется в некоторых программных шлюзах, например pfsense/opnsense. Бесплатная версия захватывает и анализирует трафик, проходящий непосредственно через шлюз. Для анализа Netflow нужен платный модуль, но есть бесплатный вариант - netflow2ng. Это самописный модуль от энтузиаста, который позволяет собирать NetFlow и передавать в Ntopng.

🔹GoFlow2 - агрегатор данных из NetFlow, который сам по себе не имеет веб интерфейса для визуализации данных. Но он умеет выгружать обработанные данные в различных форматах для использования в готовых стэках: Prometheus+Grafana, Kafka+Clickhouse+Grafana, Logstash+Elastic+Kibana.

Помимо Netflow анализаторов есть другие решения этой задачи:

🔹Arkime - захватывает и анализирует трафик напрямую с сетевых интерфейсов. Насколько я знаю не имеет анализатора Netflow. Данные хранит в Elasticsearch. Для управления используется веб интерфейс, есть интеграция с Suricata. Хорошее и функциональное бесплатное решение. Одно из лучших, что я видел.

🔹Бесплатные софтовые шлюзы, типа pfsense/opnsense/ipfire. В них могут быть интегрированы те или иные бесплатные решения для учёта трафика. В основном это ntopng.

🔹Платные шлюзы с ограничениями функциональности. В основном это относится к количеству наблюдаемых узлов. Известные мне примеры: Ideco NGFW и ИКС.

Если вы знаете и использовали какие-то другие решения для обработки, анализа и хранения информации о трафике, поделитесь своим вариантом.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#netflow #подборка