Netflow

! Включить Netflow
ip flow-export version 5
! Указать адрес и порт, на котором «слушает» коллектор
ip flow-export destination 1.1.1.1 7777

Далее необходимо включить сбор данных на «граничном» маршрутизаторе.
Ранее декларировалось так: включайте ip route-cache flow на «железных» интерфейсах (и надо заметить что другой команды включения подсчета трафика в старых IOS не было). Позже появилось: для подинтерфейсов включите команду ip flow ingress. Теперь (IOS 12.4Т) имеем при включении ip route-cache flow на «железных» интерфейсах команду ip flow ingress на всех подинтерфейсах этого интерфейса.
Это удобно лишь отчасти, так как в новые подинтерфейсы ip flow ingress придется добавлять вручную или повторять команду на физическом интерфейсе.

Проверить сбор данных можно командами show ip flow export и show ip cache flow. В первом случае будет показано количество пакетов, переданных коллектору, а во втором — кэш, в котором происходит накопление данных прежде чем окончательно сформировать пакет для отправки коллектору. Этот кэш имеет собственные параметры и я редко встречал, чтобы их кто-то менял или вообще как-то использовал.

router(config)#ip flow-cache timeout active ?
<1-60> Timeout in minutes

router(config)#ip flow-cache timeout inactive ?
<10-600> Timeout in seconds

Что это значит? Активной длительной сессией, как правило, является tcp-сессия. Данные об этой сессии будут накапливаться на маршрутизаторе по-умолчанию в течение 30 минут и только потом пакет flow будет сформирован и отправлен коллектору. Чем это грозит? При выключении маршрутизатора данные по активным сессиям до 30 минут будут потеряны. Данные могут быть переданы коллектору в 00:01 следующих суток, а начался новый месяц. Могут быть переданы в 08:01, а у вас ночной трафик до 08:00 по льготным ценам. Если коллектор не анализирует метки времени в пакете (start,end timestamps), то у вас большие проблемы. Уменьшение времени кэширования позволяет существенно сгладить этот негативный момент за счет увеличения нагрузки на процессор, увеличения количества flows, увеличения занимаемого места на вашей терабайтой корзине. Из плюсов — наконец-то получился адекватный пятиминутный мониторинг трафика с ровными графиками, а не пиками раз в полчаса.

Пример настройки:

ip flow-export version 5
ip flow-export destination 1.1.1.1 7777
ip flow-cache timeout inactive 130
ip flow-cache timeout active 5

(config-if)#ip route-cache flow


либо на саб-интерфейсах

(config-if)#ip flow ingress
(config-if)#ip flow egress



Чтобы смотреть основных источников и потребителей трафика (топ 200):

ip flow-top-talkers
top 200
sort-by bytes
cache-timeout 100