NetFlow Analyzer не разбирает часть трафика?

Question

[sanhces7]

Доброго времени суток!

Проблема в следующем — в корпоративной сети, состоящей из большого количества маршрутизаторов и ворочающей довольно большой объем трафика, в качестве коллектора для NetFlow стоит ManageEngine NetFlow Analyzer, честно купленный компанией. Система — коллектор расположена на выделенном для этой цели отдельном сервере под Win2008.

Для разных маршрутизаторов на сервере в разделе статистики объем неразобранного трафика варьируется от 5 до 95 процентов (трафик помечен как «unaccounted»). Весь остальной трафик прекрасно разбирается по IP-адресам, VLAN-ам, типу трафика, прочим признакам, с красивыми графиками и т.д. — все стабильно работает.

Стандартное решение типа простого и более фееричного не помогают, да и не объясняют происходящего.

Уловить хоть какую-то связь между неопознанным трафиком и настройками разных сегментов сети так и не смог.

Взял отдельный чистый маршрутизатор, настроил на скорую руку интерфейс, сенсор NetFlow и адрес отправки обновлений. Сервер его увидел, включил в статистику. Я попинговал сеть, намотал 50 Кб трафика, из них 20 Кб сервер не распознал.


Прошу помощи в поисках потерянного трафика, и заранее спасибо, господа!

Answer 1

[JDima]

Стесняюсь спросить — а вендору кейс завести нельзя?

Comments

[sanhces7]

Тоже стесняюсь спросить, но охота пуще неволи — а что такое вендор кейс? Погуглил — ничего не понял, особенно, как потерянный трафик найти.

[JDima]

Вендор — это тот, кто разработал софт. ManageEngine.
Кейс — это заявка.

То есть я сказал «почему бы не запросить ManageEngine?».

Помнится, я когда-то тестировал их коллектор, они здорово помогали по всем непоняткам.

[sanhces7]

По ссылке та же проблема обсуждалась тривиально и кончилась ничем.
В моем случае все сильно осложняется тем, что у нас нет физического доступа к серверу, работаем на правах администратора с веб-мордочкой, даже удаленного доступа нет.
JDima, спасибо за ответ, буду писать вендору. Просто хотелось без таких подвигов обойтись, а теперь придется еще и английский выучить)

[JDima]

Писать вендору — первое, что надо делать после того, как 20-30 минут в гугле и документации не помогли. Задавая вопросы на форумах, вы просто теряете время. Есть аномальное поведение => есть кейс.

[sanhces7]

Честно говоря, я впервые работаю в нормальном месте с адекватными людьми, купленным ПО и трудовым кодексом, поэтому еще не научился работать иначе.
Еще раз спасибо Вам, буду писать вендору.

Answer 2

[sanhces7]

Похоже, нашел ответ здесь, подпись ко второму рисунку.
«growing portion applications use dynamics ports, complicating traffic characterization» — все большее число приложений использует динамические порты, что затрудняет распознавание трафика.
Версия правдоподобная, похоже, верная, а значит, с неопознанным трафиком ничего нельзя сделать. Это прискорбно.

Answer 3

[Александр Чекалин]

Картина трафика снимается откуда? Некоторые железки умеют помогать трафик классифицировать (ну а Network Analyzer умеет эту помощь принимать). Тот же цискин NBAR взять, как пример.