Giriş
Kurumsal ağlar ve veri merkezleri için görünürlük; doğru noktadan akış (flow) verisi ve/veya ham paket kopyası almaya dayanır. Bu iki yaklaşım — NetFlow/IPFIX/sFlow gibi akış tabanlı telemetri ve SPAN/ERSPAN/TAP tabanlı paket kopyalama — farklı donanım/yazılım gereksinimleri ve performans etkileri getirir. Aşağıda lider üreticilerin popüler serilerinde hangi özelliklerin tipik olarak mevcut olduğuna, bu özelliklerin cihaz performansına etkilerine ve satınalma kararlarında nelere dikkat edilmesi gerektiğine teknik bir bakış sunuyorum.
Akış (Flow) vs Paket Kopyalama (Mirroring) – Kısa Özet
Akış tabanlı izleme (NetFlow/IPFIX/sFlow) uzun dönem telemetri, trafik istatistikleri, anomali tespiti ve bant genişliği analizi için uygundur. Akışlar genellikle özet bilgi (5-tuple, byte/packet sayıları, zamanlar) gönderir ve düşük bant genişliğiyle merkezi kolektöre ulaşır. Ancak akış oluşturma (özellikle yazılımla yapılan) CPU yükü, flow cache/TCAM gereksinimleri ve export rate kısıtları getirebilir.
Paket kopyalama (SPAN/RSPAN/ERSPAN/TAP) tüm paketi kopyalar; derin paket inceleme (DPI), payload analizi, paket zamanlama ve adli inceleme için gerekir. Ham paket kopyalama kaynak cihazın CPU/ASIC/forwarding plane'inde önemli yük yaratabilir; büyük hacimli trafikte switch mirroring yerine TAP veya packet broker tercih edilir.
Donanım ve Yazılım Desteklerinin Genel Mimarisi
- Akış sayacı/flow cache: Yüksek hızda akış işlemek için donanımsal offload (ASIC/TCAM) gerekir; düşük/orta seviye cihazlarda yazılım tabanlı flow tablolar CPU'yu zorlar.
- Sampling (örnekleme): Yükü düşürmek için kullanılır; veri doğruluğu/rezolüsyon düşer ancak sistem ölçeklenir.
- ERSPAN/Encapsulation: Mirroring paketlerinin L3 üzerinden gönderilmesi, cihazın GRE/encap işlem yeteneğine ve MTU/buffer yönetimine bağlıdır.
- Licensing: Bazı üreticiler NetFlow/advanced telemetry/ERSPAN gibi özellikleri özel lisans katmanlarına bağlar; satın almadan önce doğrulayın.
Marka / Model Dağılımı (Seri bazlı, popüler örnekler)
Aşağıdaki liste pratik bir "seriler ve beklenen destek" haritasıdır. Her model/seride firmware, yazılım sürümü ve lisans farklılıkları olabilir — kesin doğrulama için üretici dokümantasyonunu kontrol edin.
Cisco
- Popüler seriler: Catalyst 9000 (9300/9400/9500), Nexus 7000/9000, ISR 4K/ASR 1000/9000
- Destek: Flexible NetFlow (FNF) — detaylı, zengin şablonlar; ERSPAN/SPAN; NetFlow/IPFIX export. Yüksek uç cihazlarda FNF için donanımsal offload bulunur.
- Notlar: FNF, uygulama katmanı anahtarlama ve geniş ölçekte flow toplama için güçlüdür; ERSPAN çoklu session'larda cihazın forwarding/CPU kaynaklarını zorlayabilir.
Juniper
- Popüler seriler: MX (edge/aggregation), QFX (datacenter switching), EX (access), SRX (security gateway)
- Destek: J-Flow (Juniper'in NetFlow muadili) ve IPFIX; bazı switch serilerinde sFlow desteği; inline flow sampling ve ilgili özellikler.
- Notlar: Juniper cihazlarında J-Flow konfigürasyonu ve sampling seçenekleri farklı platformlara göre değişir; QFX serilerinde switch-ASIC tabanlı telemetri avantajı vardır.
Arista
- Popüler seriler: 7050/7280/7300/7500 serileri (EOS tabanlı)
- Destek: sFlow yaygın; SPAN/ERSPAN desteği; yüksek performanslı datacenter telemetrisi için tasarlanmış donanım.
- Notlar: Arista EOS, geniş otomasyon ve streaming telemetry uyumu ile birlikte gelir; paket kopyalama yüksek-throughput'ta ASIC/CPU yükünü hesaba katın.
Fortinet
- Popüler seriler: FortiGate (F-series), FortiSwitch
- Destek: Flow tabanlı telemetri ve statik/dinamik mirroring seçenekleri; FortiOS sürümüne bağlı olarak NetFlow/IPFIX benzeri veri sağlayabilir.
- Notlar: Güvenlik cihazlarında flow/telemetry performansı güvenlik işleme ile birlikte değerlendirilmelidir.
MikroTik
- Popüler seriler: CCR (Cloud Core Router), CRS serisi switch'ler
- Destek: RouterOS üzerinde Traffic Flow (IPFIX/NetFlow benzeri) ve switchlerde port-mirroring gibi temel yetenekler.
- Notlar: Bütçe dostu ama yüksek hacim ve düşük gecikme gereksinimli veri merkezleri için sınırlamalar olabilir; sampling ve dışa aktarım konfigürasyonlarına dikkat edin.
Huawei
- Popüler seriler: CloudEngine (CE) ve S-serisi switch'ler, AR/NE router'lar
- Destek: NetStream (Huawei'in NetFlow muadili), SPAN/mirroring ve donanım tabanlı telemetri seçenekleri.
- Notlar: NetStream, yüksek performanslı flow export için optimize edilmiştir; entegrasyon ve lisans konuları üretici dokümanıyla teyit edilmelidir.
HPE / Aruba
- Popüler seriler: Aruba CX serisi, Aruba 2930/5400R gibi switch'ler
- Destek: sFlow/NetFlow desteği modele ve OS sürümüne bağlı olarak değişir; SPAN/ERSPAN özellikleri vardır.
- Notlar: CX platformu modern telemetri ve API entegrasyonları sağlar; TCAM ve buffer limitleri göz önünde bulundurulmalıdır.
Cisco'nun Öne Çıkan Yetenekleri: Flexible NetFlow ve ERSPAN
Cisco Flexible NetFlow (FNF) hem flow şablonlarında hem de kayıt türlerinde yüksek esneklik sunar; uygulama-layer metadata, MPLS/VRF bilgileri ve örneklemeye kadar geniş veri alanları yakalanabilir. Yüksek uç Cisco platformları FNF işlemini donanım düzeyinde offload ederek CPU kullanımını düşürür. ERSPAN ise L3 üzerinden ham paket taşıma sağlar; ancak ERSPAN session'ları cihazın encapsulation ve forwarding yeteneklerine bağlı olarak performans sınırlarına ulaşabilir. Satın alırken hangi modellerin FNF için ASIC/TCAM offload sunduğunu ve ERSPAN session limitlerini doğrulayın.
Juniper'ın J‑Flow / sFlow Yaklaşımı
Juniper J-Flow, NetFlow uyumlu akış verisi sağlar ve platformlara göre farklı konfigürasyon / sampling seçenekleri mevcuttur. QFX/MX gibi üst seviye platformlar telemetri verilerini ASIC seviyesinde işleyebilir; SRX güvenlik cihazları ise güvenlik işlemleri ile birlikte flow üretir. Juniper ayrıca bazı modellerde sFlow veya paket-tabanlı telemetri seçenekleri sunar; hangi platformun hangi telemetri tipi için optimize olduğunu önceden test edin.
Hibrit Kullanım: Ne Zaman Akış + Mirroring Birlikte Kullanılır?
- Günlük Görünürlük ve Uzun Dönem Analiz: NetFlow/sFlow koleksiyonu sürekli izleme ve anomali tespiti için uygundur.
- Derin İnceleme ve Adli Analiz: Bir anomalinin sebebini bulmak için SPAN/TAP ile ham paket yakalama gerekir.
- Hibrit Mimari Önerisi: Core/leaf seviyesinde akış telemetrisi toplayın; kritik arayüzlerde (egress edge, firewall, uygulama host) mirroring ile paket yakalayın. Yüksek hızda mirroring gerekiyorsa fiziksel TAP veya packet broker kullanın, doğrudan switch CPU'suna yük bindirmemek için ERSPAN yerine fiziksel TAP tercih edin.
Performans ve Donanım Sınırlamaları (CPU / TCAM / Buffer)
- Low-end cihazlar: Flow export yazılım tabanlıdır — yüksek akış hacminde CPU tıkanmaları görülür. Sampling mutlaka düşünülmelidir.
- Mid/High-end: ASIC/TCAM offload ile çok daha yüksek flow işleme kapasitesi sağlar. Ancak geniş SPAN/ERSPAN session'ları yine cihaz kaynaklarını (encapsulation, MTU, buffer) zorlayabilir.
- Paket kopyalama: Tam paket kopyalama link başına yüksek çıkış gerektirir; mirroring çok sayıda port için ölçeklenmezse packet loss yaşanır.
Lisans ve Satınalma Uyarıları
- Bazı üreticiler akış telemetri, gelişmiş analiz veya ERSPAN gibi özellikleri ayrı lisans katmanlarına bağlar. (Örneğin Cisco platformlarında DNA/Network Advantage veya benzeri lisans paketleri belirli ileri telemetri ve analitik özellikleri etkileyebilir.)
- Export throughput, maksimum concurrent flows, ERSPAN session limitleri ve encapsulation offload yetenekleri lisans/platfoma göre değişir — satın almadan önce spesifikasyonları talep edin.
- Desteklenen yazılım sürümleri: NetFlow/sFlow/ERSPAN desteği yazılım sürümüne bağlı olabilir; cihazı upgrade etmeden önce compatibilty matrisini kontrol edin.
Satınalma Kriterleri: Check‑list
- Hedef throughput ve beklenen flow/export rate (pps ve flows/s)
- Donanım offload (ASIC/TCAM) desteği ve flow cache kapasitesi
- Sampling, hashed-flow, ve flow-aggregation seçenekleri
- ERSPAN/GRE offload ve maksimum ERSPAN session sayısı
- Packet buffering ve mirroring sırasında packet loss riski
- Lisans maliyetleri ve yazılım sürümü gereksinimleri
- Entegrasyon yetenekleri (sflow/netflow collector, streaming telemetry, API'ler)
Kullanılacak Marka / Model Detay Haritası
Aşağıda yaygın kullanım senaryolarına göre hangi üretici/seri tiplerinin daha uygun olacağına dair öneri haritası bulunmaktadır. Bu harita kesin model tavsiyesi yerine, hangi iş yükü için hangi tür cihaz ailesine bakılması gerektiğini gösterir.
Enterprise Erişim / Kampüs
- Cisco Catalyst 9300/9200 serisi veya Aruba CX access serileri — akış temelli görünürlük, SPAN sınırlı sayıda port için uygundur.
- MikroTik CCR küçük ofis ve şube senaryoları için maliyet-etkin flow export sağlar.
Aggregration / Edge
- Cisco Catalyst 9500, ASR 1000, Juniper EX/MX — daha yüksek TCAM/flow cache gereksinimli toplama noktaları için.
- FortiGate serileri — güvenlik ile entegre edilmiş flow/telemetry gereksinimi varsa.
Veri Merkezi Leaf/Spine
- Arista 7000 serisi, Cisco Nexus 9000, Juniper QFX, Huawei CloudEngine — yüksek line-rate telemetri ve sFlow/streaming telemetry için tercih edilir.
- Büyük çaplı packet mirroring için fiziksel TAP + packet broker önerilir.
Edge / İnternet Bağlantısı
- Cisco ASR/MX/High-end FortiGate — yüksek throughput, DDoS/flow monitoring ve BGP entegrasyonu gereken noktalarda.
Sonuç ve Öneriler
NetFlow/sFlow ile sürekli telemetri ve anomali tespiti; SPAN/ERSPAN/TAP ile olay sonrası derin analizleri birleştiren hibrit mimari genellikle en dengeli yaklaşımdır. Satın alma aşamasında cihazın flow/offload yetenekleri, ERSPAN sınırları, TCAM/flow cache ve lisans gereksinimleri teknik ekip tarafından doğrulanmalıdır. Yüksek hacimli paket kopyalama gerektiğinde TAP ve packet broker kullanmak cihaz kaynaklarını korur ve veri kaybını önler.
Detaylı ihtiyaç analiziniz ve marka/model uyumluluğu için teknik görüşme talep edebilirsiniz. Ayrıca Flowtrion'un ağ gözlemlenebilirlik platformu ve modülleri akış/snapshot entegrasyonlarında yardımcı olur.
Flowtrion Platformu hakkında bilgi · Analiz modüllerimiz · NetFlow / sFlow / SPAN karşılaştırması · Anomali Tespiti modülü · Teknik görüşme talebi