NetFlow e sFlow: analisi traffico di rete

SNMP risponde alla domanda su quanto traffico passa, ma non a chi sta consumando la banda o verso quale destinazione. Per rispondere servono NetFlow e sFlow, due tecnologie complementari che permettono di analizzare i flussi di traffico in tempo reale e capire cosa accade davvero sulla rete.

NetFlow: il modello flow-based

NetFlow è stato sviluppato da Cisco e oggi è uno standard de facto. Il router/switch identifica i flussi (coppia source-destination con stessa 5-tupla: src IP, dst IP, src port, dst port, proto), li aggrega in memoria e quando il flow finisce esporta un record verso un collector. Le versioni principali sono v5 (legacy, fixed format) e v9 (template-based, estendibile). IPFIX è la versione standardizzata IETF di NetFlow v9.

sFlow: il modello sample-based

sFlow campiona pacchetti casuali (1 ogni N) e li manda al collector così come sono. Niente aggregazione lato switch, quindi minor uso di memoria. Ottimo per switch ad alta velocità (40G/100G) dove NetFlow non sta dietro. Lo svantaggio è la natura statistica: con basso campionamento si perde precisione su flussi piccoli.

Collector e analyzer

I collector più diffusi: ntopng open source, interfaccia web molto buona; Elastiflow basato su Elasticsearch+Kibana; SolarWinds NTA commerciale potente; PRTG integra collector nativo; nfdump+NfSen command line classico. Conviene scegliere il collector pensando alle dashboard e ai report che servono.

Procedura passo-passo

1. Identifica i punti dove abilitare flow export: uscita WAN, uplink core, link inter-VLAN.
2. Verifica supporto sui device: NetFlow su quasi tutti i router enterprise, sFlow su switch enterprise. Mikrotik supporta entrambi.
3. Configura il flow sul device: collector IP, porta (default UDP 2055 NetFlow, 6343 sFlow), sampling rate (1:1 per NetFlow, 1:512 o 1:1024 per sFlow).
4. Installa il collector su VM dedicata con storage ampio (i record si accumulano).
5. Configura il collector ad accettare l'export dai device.
6. Crea dashboard per: top talker, top application, top destination, trend bandwidth.
7. Imposta alerting per anomalie: spike di traffico, comunicazioni verso IP sospetti.
8. Retention 30-90 giorni con storage TB.

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• CPU spike sui device: NetFlow su switch entry-level può saturare CPU. Usa sFlow.
• Sampling troppo basso: perdi flussi importanti. 1:512 è un buon compromesso a 10G.
• Mancanza DNS resolution: IP nudi sono illeggibili. Abilita reverse DNS lookup sul collector.
• Storage saturo: i flow record consumano TB se non ruotati. Definisci retention policy.
• Privacy GDPR: NetFlow contiene IP e porte, potenziali dati personali. Pseudonimizza nei report.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con NetFlow e sFlow per analisi traffico, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per NetFlow e sFlow per analisi traffico questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: NetFlow o sFlow?
R: NetFlow è più preciso, sFlow più scalabile. Dipende dai device.

D: Quanto spazio servono i flow record?
R: 1-10 GB/giorno per rete media (100-500 host).

D: NetFlow rileva malware?
R: Indirettamente: scoperta di C2 server o comunicazioni anomale.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.