SNMP и Netflow - замечательные инструменты для сбора статистики о трафике, проходящем через устройство.

В данной статье мы рассмотрим настройку SNMP и Flow Export на ASA 9.1(4)5, ASDM 7.1(6) для экспорта статистики в PRTG и NetFlow Analyzer.

Настройка SNMP

snmp-server enable
snmp-server host inside 192.168.2.49 community secretstring
snmp-server community secretstring
snmp-server enable traps snmp authentication linkup linkdown coldstart

Настройка Cisco ASA для Flow Export несколько сложнее по сравнению с маршрутизатором и состоит из двух этапов:

(1) Настройка Flow Export

      no logging message 106015
      no logging message 106023
      no logging message 106100
      no logging message 302013
      no logging message 302014
      no logging message 302015
      no logging message 302016
      no logging message 302017
      no logging message 302018
      no logging message 302020
      no logging message 302021
      no logging message 313001
      no logging message 313008
      no logging message 710003
      flow-export template timeout-rate 1
      flow-export delay flow-create 60
      flow-export destination inside 192.168.2.49 9996
      logging flow-export-syslogs disable

(2) Настройка Policy-Map

Здесь мы предполагаем, что на устройстве установлена дефолтная политика global_policy. К этой политике мы добавим следующие правила:

      class-map global-class
        description flow-export-class
        match any
      policy-map global_policy
        class global-class
          flow-export event-type all destination 192.168.2.49 

В итоге общая политика будет выглядеть как:

class-map global-class
 description flow-export-class
 match any
class-map inspection_default
 match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
 parameters
  message-length maximum client auto
  message-length maximum 512
policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect rsh 
  inspect rtsp 
  inspect esmtp 
  inspect sqlnet 
  inspect skinny  
  inspect sunrpc 
  inspect xdmcp 
  inspect sip  
  inspect netbios 
  inspect tftp 
  inspect ip-options 
 class global-class
  flow-export event-type all destination 192.168.2.49
 class class-default
  user-statistics accounting
!
service-policy global_policy global

Проверка

asa-01# show flow-export counters 

destination: inside 192.168.2.49 9996
  Statistics:
    packets sent                                              309
  Errors:
    block allocation failure                                    0
    invalid interface                                           0
    template send failure                                       0
    no route to collector                                       0
    failed to get lock on block                                 0
    source port allocation failure                              0