Site icon bintorosoft.com

NetFlow auf Switches? Möglichkeiten und Alternativen im Campus

Red Snapper

Retro computer with monitor mouse and keyboard. Business concept. 3d render illustration.

„NetFlow auf Switches“ ist im Campus ein häufiges Ziel, weil Flow-Daten Antworten auf die wichtigsten Betriebsfragen liefern: Wer spricht mit wem? Welche Applikationen erzeugen Last? Woher kommen Spitzen und Paketverluste? In der Praxis ist NetFlow-Unterstützung auf Switches jedoch stark plattformabhängig: Viele reine Layer-2-Access-Switches können kein klassisches NetFlow für Transit-Traffic, während L3-Switches mit IOS XE oft Flexible NetFlow oder hardwarebasierte Telemetrie unterstützen. Deshalb ist der sinnvollste Ansatz: erst klären, welche Flow-Daten du wirklich brauchst, dann entscheiden, ob NetFlow direkt am Switch möglich ist – oder ob Alternativen wie SPAN, sFlow, IPFIX, Streaming Telemetry oder NetFlow am L3-Gateway die bessere Wahl sind.

Was Flow-Daten leisten: Warum NetFlow so wertvoll ist

SNMP zeigt dir „wie viel“ Traffic fließt, aber nicht „wer“ und „womit“. Flow-Daten liefern genau diese Kontextinformation – ideal für Kapazitätsplanung, Security-Analysen und Troubleshooting.

Realität im Campus: Warum „NetFlow am Access-Switch“ oft nicht klappt

Auf Access-Switches läuft Transit-Traffic typischerweise im ASIC (Data Plane). Klassisches NetFlow braucht entweder CPU-Processing oder dedizierte Hardware-Unterstützung für Flow-Export. Viele Layer-2-Switches haben diese Export-Funktion nicht oder nur eingeschränkt.

Merksatz

Wenn du „wer spricht mit wem“ im Campus willst, ist der beste Platz oft das L3-Gateway (SVIs) – nicht der reine Access-Switch.

NetFlow, IPFIX, sFlow: Begriffe kurz einordnen

Im Campus werden verschiedene Flow-Technologien genutzt. Für das Design ist wichtig: Sampling vs. unsampled, Export-Format und Plattform-Support.

Praxisentscheidung

Für „Top-Talkers“ reicht Sampling oft aus. Für Security- oder Accounting-Anforderungen kann unsampled (oder sehr geringes Sampling) nötig sein.

Möglichkeit 1: Flexible NetFlow am L3-Switch (Distribution/Core)

Wenn du im Campus SVIs und Inter-VLAN-Routing auf einem L3-Switch hast, ist das ein idealer Flow-Messpunkt: Du siehst Inter-VLAN-Traffic zentral, ohne jeden Access-Switch zu instrumentieren. Das gilt besonders für IOS XE Plattformen mit Flexible NetFlow.

Konzept: Flows auf SVI oder L3-Uplink erfassen

Möglichkeit 2: sFlow im Access (wenn verfügbar)

Wenn dein Access-Switch sFlow unterstützt, ist das oft die pragmatische Alternative zu NetFlow: Du bekommst Stichproben über Traffic, kannst Top-Talkers erkennen und Peaks erklären – ohne vollen Flow-Overhead.

Möglichkeit 3: SPAN/Port Mirroring als „Flow-Alternative“

Wenn du kurzfristig einen Engpass, Paketverlust oder einen Security-Verdacht analysieren musst, ist SPAN oft schneller als Flow-Setup. Du siehst echte Pakete (nicht nur Metadaten), aber es ist punktuell und kann bei hoher Last unvollständig sein.

SPAN kurz (Port als Source)

configure terminal
monitor session 1 source interface gigabitEthernet 1/0/10 both
monitor session 1 destination interface gigabitEthernet 1/0/24
end

Wann SPAN besser ist als Flow

Möglichkeit 4: SNMP + Syslog + „smarte“ Gegenmaßnahmen (oft ausreichend)

Für viele Campus-Use-Cases brauchst du keine vollständigen Flows. Wenn du Uplink-Traffic (SNMP), Errors/Drops und Events (Syslog) sauber hast, kannst du die meisten Betriebsprobleme bereits sehr gut lösen. Flows sind dann ein „Deep Dive“-Werkzeug.

Entscheidungslogik: Wo du Flow-Daten im Campus am sinnvollsten erhebst

Wähle den Messpunkt so, dass du mit minimaler Komplexität maximalen Nutzen bekommst. In den meisten Campus-Designs ist das Distribution/Core (SVIs), nicht der einzelne Edge-Port.

Risiken und Grenzen: Performance, Datenschutz, Betrieb

Flow-Daten sind mächtig, aber bringen Overhead und Governance-Themen. Plane Speicher, Retention und Zugriffsrechte. Außerdem kann unsachgemäßer Export CPU belasten, besonders bei zu vielen Interfaces oder zu geringer Sampling-Rate.

Verifikation: Wie du prüfst, ob dein Switch Flow-Features bietet

Bevor du planst, prüfe die verfügbaren Kommandos. Wenn dein Switch weder Flexible NetFlow noch sFlow bietet, sind SPAN oder Messung am L3-Gateway die realistischen Alternativen.

Kommandos/Feature-Hinweise suchen (plattformspezifisch)

show running-config | include flow|netflow|ipfix|sflow
show platform software
show version

Best Practices: Flow-Transparenz im Campus ohne Overengineering

Ein robustes Campus-Setup nutzt Flow-Daten dort, wo sie am meisten bringen: am L3-Gateway und an den Edge-Übergängen. Am Access setzt du eher auf SNMP/Syslog und gezielten SPAN, statt jeden Switch mit Flow-Export zu belasten.

copy running-config startup-config

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version