Aprenda instalar o ElastiFlow, uma poderosa ferramenta para análise de tráfego de rede no Debian 11 Bullseye

Ouvir tutorial

Coletor de fluxo unificado ElastiFlow
O ElastiFlow ™ Unified Flow Collector recebe, decodifica, transforma, normaliza, traduz e enriquece registros de fluxo de rede e telemetria enviados de dispositivos e aplicativos de rede usando IPFIX, Netflow e sFlow. Os registros resultantes podem ser enviados para diversas plataformas e serviços.

Requisitos de sistema acesse aqui.

Com seu Debian 11 (Bullseye) 64 bits. Instalação mínima pronta

Existem outras formas de configurar, mas aqui tentei passar a forma mais simples possível para que qualquer um consiga insta-lo. 🙂

Instale os pacotes básicos necessários

Recomendo a instalacao dos firmwares binário para vários drivers do kernel Linux, para isso adicione contrib non-free ao seu repositório.

Tuning no kernel

Reinicie para que os novos módulos sejam carregado.

:: Elastic Stack ::

Será necessário ter o Java instalado.

Adicione o repositório elastic.

:: Elasticsearch ::

Elasticsearch é um mecanismo de pesquisa baseado em texto completo.

Se uma JVM for iniciada com tamanhos de heap inicial e máximo desiguais, ela poderá pausar conforme o heap da JVM for redimensionado durante o uso do sistema. Por esse motivo, é melhor iniciar a JVM com os tamanhos de heap inicial e máximo configurados com valores iguais.

Adicione o arquivo e defina e heap.optionsa cerca de um terço da memória do sistema, mas não exceda . Para este exemplo, usaremos 12 GB dos 32 GB de memória disponíveis para heap da JVM.

Os limites do sistema aumentados devem ser especificados em um systemd.

Após instalação vamos alterar network.host para ouvir apenas localhost, em seguida ativar o serviço e inicia-lo.

Cheque se o mesmo esta funcionando

Retorno algo como….

Caso o comando curl -X GET 127.0.0.1:9200 retorne algum erro, tente verificar se o serviço esta rodando com o comando systemctl status elasticsearch.

:: kibana ::

Kibana é uma plataforma de análise e visualização usada para exibir os painéis do ElastiFlow.

Após instalação vamos alterar server.host, em seguida ativar o serviço e inicia-lo.

Ajuste para o endereço da sua URL(Domínio ou IP) pública, exemplo:

Se desejar criar uma autenticação simples descomente as linhas:

E altere para suas configurações

:: ElastiFlow ::

ElastiFlow fornece coleta e visualização de dados de fluxo de rede usando o Elastic Stack.

No retornos dos comando curl certifique-se de ter no inicio a mensagem “success”:true”

Configurações Avançadas Recomendadas do Kibana

Acesse seu Kibana no navegador. http://____:5601

Realizando esses ajustes avançados o Kibana produzirá uma experiência mais amigável ao usar o ElastiFlow. Essas configurações são feitas no Kibana, em Stack Management -> Advanced Settings.
Use a busca para localizar e ajustar os seguintes valores:

Pin filters by default: On
Highlight results : Off
Store URLs in session storage: On
Dark mode: On
Day of week: Monday
Formatting locale: Portuguese (Brazil)
Number format: 0,0.[00]
Percent format: 0,0.[00]%
Time filter defaults:

Time Picker Quick Ranges:

Ajustes finos:

Ajustes ELASTICSEARCH

Ajustes DNS

Ajustes MAXMIND

Base MAXMIND 2022.03.10 acesse aqui para verificar uma relese mais atual.

Reiniciando os serviços

Configure seu router para enviar os flows

Bonus: Huawei NE Netstream (NetFlow)

Bonus: Mikrotik

Verificar se os pacotes estão chegando na porta 9995

Acesse eu Kibana e seja feliz!

Escolha sua Dash

Gostou e quer me ajudar a manter o blog? 🙂

Se quiser fazer uma doação para o café ficarei muito feliz pelo seu reconhecimento!

Se não puder doar pode deixar seu agradecimento nos comentário também ficarei feliz em saber que ajudei. Se tiver qualquer pergunta deixe-a também. Se preferir entrar em Contato clique aqui.

Abraço!

Fonte:
https://docs.elastiflow.com

Rudimar Remontti

Trabalho atualmente como Gerente de Redes em um Provedor de Internet no Rio Grande do Sul.

Você pode gostar...

13 Resultados

  1. Rodrigo disse:

    Fiz a instalação conforme o tutorial, porém no Kibana quando entro em qualquer Dashboard (Ex: ElastiFlow: AS Traffic (src/dst)) aparece a seguinte mensagem de erro:
    No matching indices found: No indices match pattern “elastiflow-flow-codex-*”

    Como resolver esse problema?

  2. Francisco disse:

    O meu não esta realizando as coletas atraves do comando tcdump mostra as informações passando mais no elastic nao aparece na dashboard, alguem passou por isso tb?

  3. sidinel disse:

    quando chega nessa parte ( curl -XPOST “http://127.0.0.1:5601/api/saved_objects/_import?overwrite=true”\
    -k -H “kbn-xsrf: true” -H “securitytenant: global” –form file=@kibana-7.14.x-codex-dark.ndjson) da erro nao possivel conectar alguem passou por isso?

  4. Peterson disse:

    Boa noite a todos.

    Excelente tutorial muito bem explicado e objetivo.

    Gostaria de saber o que é o Private dentro do gráfico gerado no “ElastiFlow: Autonomous Systems (bytes)”

  5. BRUNO disse:

    Perfeito como sempre!

  6. Renato Ribeiro disse:

    Queria salvar sá as ultmias 48 horas, só pra analize basica da rede, alguém tem um comando onde posso deixar salvo só as ultmias 48h pra não lotar meu hd

  7. Ele consegue separar os fluxos de dados IPv4 e Ipv6, para analisar os dois tráfegos separadamente?

  8. José Oliveira disse:

    Muito massa.

    Fiz aqui e funcionou.

    Muito obrigado.

    Abs.

    P.S: café está pago!

  9. THIAGO OLIVEIRA disse:

    Dá para extrair do PFSENSE?

Deixe um comentário

O seu endereço de e-mail não será publicado.