Modification de Cisco IpFlow

Mini doc pour trouver la source d'une attaque sur un Cisco
==Configuration sur le routeur==

<pre>
ip flow-cache timeout active 5
ip flow-export source Loopback0
ip flow-export version 5 peer-as
ip flow-export destination 212.43.194.17 9995

interface GigabitEthernet0/3
  ip flow ingress ! or ip flow egress
</pre>

Sur un 6500, inutile de configurer <code>ip flow ingress</code> sur les interfaces pour obtenir le trafic routé par MLS. 
Attention, seul le trafic ingress est caché. Utiliser la configuration suivante :

<pre>
mls nde sender version 5

! interface-full pour obtenir l'index de l'interface ingress
mls flow ip full

! pour renseigner dans les flots le next-hop, l'egress interface et les AS au moment de l'export
mls nde interface

ip flow-export destination 212.43.194.17 9995
ip flow-export source loopback 0
</pre>

Pour configurer en version 9, configurer :
<pre>
ip flow-export version 9
</pre>

Après cette configuration, <code>mls nde sender version 5</code> ne sera plus utilisé (mais sera encore dans la configuration, utiliser <code>show mls nde</code> pour voir quelle version est utilisée).

Attention, la configuration v9 hardware (PFC) n'est pas flexible.

==Configuration sur le serveur Netflow==

Lancer le serveur ehnt :

<pre>
ehntserv -u 9995
</pre>

Lancer ehnt (man ehnt) :

<pre>
ehnt -mtop -i1
</pre>

Pour connaître les index SNMP des interfaces :
<pre>
th1-cr1#show snmp mib ifmib
</pre>

Pour dumper les paquets reçus avec tshark :
<pre>
tshark -d udp.port==9995,cflow -V udp port 9995
</pre>
[[Catégorie:Cisco]]