Juniper MX router üzerinde sFlow ve IPFIX yapılandırması, ağ trafiğinde hangi kaynakların bant genişliği tükettiğini ve olağan dışı hareketlerin nerede başladığını görmeye yardımcı olur. Başarılı bir kurulum için collector adresini girmek kadar donanım desteğini, örnekleme yönünü ve dışa aktarılan verinin doğru yorumlanmasını da kontrol etmek gerekir.
Bu rehber ISP, veri merkezi ve NOC ekipleri için örnek bir kurulum akışı sunar. Komutlar üretim cihazına doğrudan uygulanacak hazır bir profil değildir; Junos sürümü, MPC modeli ve mevcut sampling yapılandırmasıyla birlikte değerlendirilmelidir.
sFlow ve IPFIX arasında hangi farklar var?
sFlow, paket örneklerini ve arayüz sayaçlarını collector'a iletir. IPFIX ise şablonlarla tanımlanan akış kayıtlarını taşır. Juniper MX üzerinde klasik inline-jFlow yaklaşımı, IPFIX formatında akış dışa aktarımı için kullanılabilir. IPFIX kullanılması bütün paketlerin kaydedildiği anlamına gelmez; aşağıdaki örnek de örneklemeye dayanır.
Temel kavramlar için NetFlow, sFlow ve port mirroring karşılaştırmasına bakabilirsiniz. Buradaki hedef ise protokolleri karşılaştırmaktan çok MX üzerindeki kurulum ve doğrulama adımlarını göstermektir.
1. MX modeli, MPC ve Junos desteğini kontrol edin
show version
show chassis hardware
show chassis fpc
show configuration protocols sflow | display set
show configuration forwarding-options sampling | display set
show configuration chassis | display set | match sampling-instanceAynı MX kasası farklı nesil line card'larla çalışabilir. Juniper'ın teknik açıklamasında klasik sFlow desteği uKernel tabanlı platformlarla ilişkilendirilir; AFT tabanlı yeni nesil platformlarda IMON gibi farklı yöntemler öne çıkar. Bu nedenle yalnızca “MX240” veya “MX960” model adından hareketle destek kararı vermeyin. İlgili kart ve yazılım sürümünün özellik desteğini doğrulayın.
IMON ile klasik IPFIX akış kaydını ayırın
IMON/IPFIX 315 üzerinden paket başlığı örneklerinin aktarılması, bu rehberdeki klasik IPv4 inline-jFlow örneğiyle aynı veri modeli değildir. Collector'ın ilgili kayıt türünü çözümleyebilmesi gerekir. Bir ürünün IPFIX kabul etmesi bütün IPFIX bilgi elemanlarını desteklediğini tek başına göstermez.
2. Collector erişimini ve örnekleme planını hazırlayın
Örnekte router'ın mevcut yerel adresi 192.0.2.1, collector adresi 192.0.2.10, izlenecek arayüz xe-1/0/0.0 ve FPC slotu 1 olarak kabul edilmiştir. Bunlar dokümantasyon adresleridir; kendi ağınıza göre değiştirin. Kaynak adres router üzerinde tanımlı olmalı, collector'a uygun yönlendirme bulunmalıdır.
- sFlow için collector dinleyicisi: UDP 6343.
- IPFIX için bu örnekte kullanılan dinleyici: UDP 4739. UDP 2055 kullanılacaksa iki uçta da aynı portu seçin.
- Başlangıç örnekleme oranı: 1:1000. Bu değer kapasite ve görünürlük ihtiyacına göre test edilmelidir.
- İlk aşamada ingress ölçüm planı kullanılır; iki yönde veya birden fazla gözlem noktasında ölçüm yapılırsa mükerrer sayım değerlendirilmelidir.
Collector güvenlik duvarında yalnızca yetkili exporter adreslerine izin verin. Aynı trafiği hem sFlow hem IPFIX ile topluyorsanız iki veri kümesini körlemesine toplamayın; önce ayrı ayrı doğrulayın.
3. Desteklenen Juniper MX üzerinde sFlow örneği
Aşağıdaki ingress örneği, sFlow destekleyen platformlar içindir. Polling arayüz sayaçlarının sorgulanma sıklığını, sample-rate paket örnekleme oranını belirler.
configure
set protocols sflow source-ip 192.0.2.1
set protocols sflow polling-interval 30
set protocols sflow sample-rate ingress 1000
set protocols sflow collector 192.0.2.10 udp-port 6343
set protocols sflow interfaces xe-1/0/0.0
show | compare
commit check
commit confirmed 5İşletim kontrolleri başarılıysa normal commit ile değişikliği kalıcı olarak onaylayın. Doğrulanmamış arayüz veya desteklenmeyen komutları zorlamak yerine cihazın hata mesajını ve sürüm dokümanını inceleyin.
sFlow doğrulaması
run show sflow
run show sflow interface
run show sflow collectorEtkin arayüzü, collector portunu ve gerçek örnekleme oranını kontrol edin. Adaptif örnekleme devreye girerse collector tarafındaki hesaplamanın bunu dikkate aldığından emin olun. Düşük örnekleme paydası daha fazla veri ve işlem yükü oluşturabilir; önce küçük kapsamla başlayın.
4. Inline-jFlow ile IPv4 IPFIX yapılandırması
Kurulum sırası IPFIX şablonu, sampling instance, FPC eşleştirmesi ve arayüzde örnekleme olarak ilerler. Mevcut bir instance varsa ikinci bir instance eklemeden önce tasarımı inceleyin: bir FPC için tek sampling instance kısıtı önemlidir.
configure
set services flow-monitoring version-ipfix template FLOWTRION-V4 ipv4-template
set services flow-monitoring version-ipfix template FLOWTRION-V4 flow-active-timeout 60
set services flow-monitoring version-ipfix template FLOWTRION-V4 flow-inactive-timeout 15
set services flow-monitoring version-ipfix template FLOWTRION-V4 template-refresh-rate seconds 30
set services flow-monitoring version-ipfix template FLOWTRION-V4 option-refresh-rate seconds 30
set forwarding-options sampling instance FLOWTRION input rate 1000
set forwarding-options sampling instance FLOWTRION family inet output flow-server 192.0.2.10 port 4739
set forwarding-options sampling instance FLOWTRION family inet output flow-server 192.0.2.10 version-ipfix template FLOWTRION-V4
set forwarding-options sampling instance FLOWTRION family inet output inline-jflow source-address 192.0.2.1
set chassis fpc 1 sampling-instance FLOWTRION
set interfaces xe-1/0/0 unit 0 family inet sampling input
show | compare
commit check
commit confirmed 5Bu örnek IPv4 içindir. IPv6 için uygun şablon ve family inet6 yapılandırması ayrıca tasarlanmalıdır. AE, IRB ve farklı kartlardaki arayüzlerde destek ve FPC kapsamını ayrıca kontrol edin. Flow-table boyutu gibi platform kaynak ayarlarını bu örneğe otomatik eklemeyin; değişikliğin etkisini ilgili donanım belgesinden doğrulayın.
IPFIX doğrulaması
run show services accounting status inline-jflow fpc-slot 1
run show services accounting flow inline-jflow fpc-slot 1
run show services accounting errors inline-jflow fpc-slot 1Collector'da hem template hem data set alındığını doğrulayın. Şablon gelmeden veri kayıtları anlamlandırılamayabilir. Router çıktısıyla birlikte collector arayüz eşleştirmesini ve zaman damgalarını da kontrol edin.
5. Collector'a veri gelmiyorsa kontrol sırası
UDP paketleri hiç görünmüyor
Kaynak IP, collector rotası, ara güvenlik duvarları ve dinleme portunu kontrol edin. Collector Linux üzerinde çalışıyorsa aşağıdaki komutlar yardımcı olur:
ss -lunp | grep -E ':(6343|4739)\b'
sudo tcpdump -ni any 'host 192.0.2.1 and udp and (port 6343 or port 4739)'Paket geliyor ancak grafik oluşmuyor
Exporter tanımı, IPFIX template çözümlemesi, gözlem alanı kimliği ve arayüz indekslerini inceleyin. Dinleyici portunun açık olması verinin başarıyla çözüldüğünü kanıtlamaz. Test sırasında capture içeriğindeki ağ metadatasını yetkili kişilerle sınırlayın.
Grafik değerleri beklenenden yüksek veya düşük
Örnekleme çarpanının iki kez uygulanmadığını, ingress/egress kayıtlarının karıştırılmadığını ve aynı trafiğin farklı exporter'lardan tekrar sayılmadığını kontrol edin. Sayaç ve flow grafikleri aynı zaman penceresine ve aynı arayüz yönüne göre karşılaştırılmalıdır.
Flowtrion ile operasyonel kullanıma geçiş
İlk hedef; doğru exporter, doğru arayüz, doğru yön ve anlamlı trafik hacmini doğrulamaktır. Ardından kaynak/hedef IP ve port dağılımlarını inceleyerek başlangıç profili oluşturabilirsiniz. Network trafik analizinin önemi yazısı bu verilerin NOC süreçlerinde nasıl kullanılabileceğini açıklar.
DDoS senaryolarında telemetry yalnızca tespit girdisidir; trafik ihracı tek başına saldırıyı engellemez. Müdahale tasarımı için sFlow/NetFlow ile DDoS tespiti ve BGP mitigasyonu rehberini inceleyebilirsiniz. Otomatik aksiyonları etkinleştirmeden önce eşikleri gerçek trafik üzerinde gözlemleyin.
Sık sorulan sorular
Her Juniper MX üzerinde sFlow çalışır mı?
Destek model, line card mimarisi ve Junos sürümüne bağlıdır. Mevcut kart için sFlow veya uygun alternatifin desteği kontrol edilmelidir.
IPFIX mutlaka UDP 2055 mi kullanır?
Hayır. Bu rehberde UDP 4739 seçilmiştir. Önemli olan exporter ile collector portlarının eşleşmesi ve ağ yolunda izin verilmesidir.
1:1000 örnekleme her ağ için uygun mudur?
Hayır. Trafik hacmi, kısa akışların görünürlüğü ve cihaz/collector kapasitesi birlikte değerlendirilmelidir. Bu rehberdeki oran bir başlangıç örneğidir.
Kaynaklar
- Juniper: MX, M ve T serilerinde trafik örnekleme
- Juniper: IPFIX şablonları ve yapılandırma örnekleri
- Juniper: Inline Active Flow Monitoring
- Juniper teknik topluluğu: MX platformlarında sFlow'dan IMON'a geçiş
- Juniper: sFlow ayarları ve doğrulama komutları (platform kapsamına dikkat edin)
Teknik kaynak kontrol tarihi: 24 Ekim 2026. Uygulama öncesinde cihazınıza ait güncel sürüm notlarını ve donanım kısıtlarını kontrol edin.