Chapitre 8:

Surveillance du
réseau

BOUIH ISSAM

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 1
 Chapter 8
8.0 Introduction
8.1 Syslog
8.2 NTP
8.3 NetFlow
8.4 Résumé

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 2
 Chapitre 8: Objectifs

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 3
 8.1 Syslog

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 4
 Fonctionnement de Syslog
Présentation de Syslog
• Syslog est un terme utilisé pour
décrire une norme. Il sert également
à décrire le protocole développé
pour cette norme.

• Les périphériques réseau disposent

de mécanismes fiables permettant
d'envoyer à l'administrateur des
messages système détaillés lors de
l'occurrence de certains événements
se produisant sur le réseau.

• De nombreux périphériques réseau

prennent en charge le protocole
Syslog, comme les routeurs, les
commutateurs, les serveurs
d'applications, les pare-feu et
d'autres dispositifs réseau
Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 5
 Fonctionnement de Syslog
Fonctionnement de Syslog

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 6
 Fonctionnement de Syslog
Format du message Syslog

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 7
Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 8
 Il existe différents niveaux de log.
Pour que les logs soient stockés dans un buffer, la
configuration est la suivante :
R1(config)#logging buffered 5
Le chiffre 5 correspond au niveau de Log à stocker.
Tous les niveaux inférieurs seront aussi pris en
compte (donc ici de 5 à 0).

Pour choisir le niveau de log affiché dans la console, la

commande est la suivante :
R1(config)#logging console 5

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 9
 Syslog est un protocole standard permettant la collecte de
log à travers le réseau.

Syslog utilise le port UDP 514.

donc ,Il est tout à fait possible que le journal de log sur le
serveur soit incomplet.

Les messages sont limités à une taille de 1024 bytes.

Le serveur Syslog stocke les logs dans des journaux.

Il est ensuite possible de consulter tous les logs d’un client.

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 10
Configuration
Pour que les logs soient affichés en live dans la console, entrer la commande
suivante : R1#terminal monitor

Pour ajouter la date aux logs, entrer la commande suivante :

R1(config)#service timestamps log datetime msec

Il est aussi possible de remplacer la date par l’uptime de l’équipement.

R1(config)#service timestamps log uptime

Afin de ne pas perturber l’utilisation de la console, mieux vaut activer la

synchronisation :
R1(config)#line console 0
R1(config-line)#logging synchronous
R1(config)#line vty 0 15
R1(config-line)#logging synchronous
Cela évite que l’arrivée de log s’ajoute à la suite de la commande que l’utilisateur est en
train d’entrer.
Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 11
 Pour enregistrer les logs dans le Buffer de l’équipement :
R1(config)#logging buffered 4096 5

Pour envoyer les logs sur un serveur Syslog :

R1(config)#logging 10.0.1.1
R1(config)#logging trap 3
Le 3 correspond ici à la sévérité des logs à prendre en compte.

Il est aussi possible de choisir l’interface à utiliser pour envoyer les logs.
Il est important de faire ce choix si l’équipement a plusieurs interfaces
(ce qui devrait être le cas).
R1(config)#logging source-interface FE0/0

Bien entendu, pour que la date soit bonne dans les logs, il faut qu’elle
soit bien configurée sur les équipements.

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 12
 Fonctionnement de Syslog
Horodatage de service
Il est possible d'horodater les messages de journal et de définir
l'adresse source des messages Syslog.
Cela permet d'améliorer le débogage et la gestion en temps réel.

Lors de l'exécution de la commande

service timestamps log datetime,
le temps écoulé depuis le dernier démarrage du commutateur
s'affiche dans les événements consignés avec date et l'heure
associées à l'événement .

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 13
 Configuration de Syslog
Serveur Syslog
Le serveur Syslog fournit une interface relativement conviviale pour
l'affichage des résultats.
Le serveur analyse les résultats et place les messages dans des
colonnes prédéfinies pour une interprétation aisée.
Si des horodatages sont configurés sur le périphérique réseau qui est à
la source des messages Syslog, la date et l'heure de chaque message
s'affichent dans les résultats du serveur Syslog.
Les administrateurs réseau peuvent aisément parcourir de grandes
quantités de données compilées sur un serveur Syslog.

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 14
 Configuration de Syslog
Journalisation par défaut

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 15
 Configuration de Syslog
Commandes de routeur et de commutateur pour
les clients Syslog

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 16
 Configuration de Syslog
Vérification de Syslog

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 17
 8.2 NTP
Network Time Protocol

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 18
 NTP est un protocole standard permettant de synchroniser
l’horloge d’un équipement avec un serveur de temps.

Cela permet d’avoir une date exacte, entre autre dans les logs.

De plus, tous les équipements seront exactement à la même

heure.
Cela permet de corréler les logs de différents équipements.

Actuellement, la version 3 de NTP est la plus répandue.

La dernière version est la 4, sortie en 2010.
NTP utilise le port 123 en UDP.

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 19
 Depuis la version 2, NTP propose une authentification à
base de clé symétrique.

Depuis la version 4, NTP propose de l’authentification à

l’aide de clé publique.

L’authentification permet d’éviter de se synchroniser avec un

mauvais serveur NTP.

Afin d’assurer une très bonne précision, NTP est capable de

prendre en compte le temps de transit des messages NTP.

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 20
 Configuration NTP
Tout d’abord, il faut spécifier l’adresse du serveur.
R1(config)#ntp server 10.0.1.1
Il est possible de spécifier plusieurs serveurs. (améliorer la précision)

La configuration de l’authentification se fait comme suit.

on définit une ou plusieurs clés possibles.
Chaque clé a un ID (ici 10).
R1(config)#ntp authentication-key 10 md5 NetworkLab
Ensuite on spécifie la ou les clés que l’on accepte.
R1(config)#ntp trusted-key 10
Si nécessaire, il est possible de spécifier la source des messages NTP.
R1(config)#ntp source fastEthernet 0/0

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 21
 8.3 NetFlow

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 22
 Fonctionnement de NetFlow
Présentation du protocole NetFlow

Netflow est un protocole Cisco permettant de collecter des

informations sur les flux IP.
Un équipement va envoyer des informations sur ses interfaces à
un collecteur.
Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 23
 Un équipement va envoyer des informations sur ses interfaces à
un collecteur.

Ces informations peuvent porter sur :

• Adresses source et destination du trafic
• Interfaces source et destination
• Port applicatifs utilisés
• Nombre de paquet par seconde
• Type de service

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 24
 Fonctionnement de NetFlow
Explication du protocole NetFlow
La plupart des entreprises utilisent NetFlow pour quelques-unes ou la
totalité des applications importantes suivantes en matière de collecte des
données :
Mesure de qui utilise quelles ressources réseau et pour quelle raison.
Comptabilité et facturation en fonction du niveau d'utilisation des
ressources.
Utilisation des informations mesurées pour une planification plus
efficace du réseau et un alignement correct de l'allocation et du
déploiement des ressources avec les exigences du client.
Utilisation des informations pour une meilleure organisation et
personnalisation de l'ensemble des applications et services
disponibles, en fonction des besoins et des exigences du client en
matière de services.

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 25
 Fonctionnement de NetFlow
Flux de réseau
Si la technologie NetFlow a connu plusieurs générations offrant des
sophistications supplémentaires en matière de définition de flux de
trafic, le protocole NetFlow d'origine distinguait les flux à l'aide d'une
combinaison de sept champs.
Adresse IP source et destination
Numéro du port source et destination
Type de protocole de couche 3
Marquage TOS (type de service)
Interface logique d'entrée

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 26
 Fonctionnement de NetFlow
Configuration de NetFlow

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 27
 la configuration
Premièrement, il faut choisir l’interface, et le sens du trafic.
R3(config)#interface fastEthernet 0/0
R3(config-if)#ip flow ingress
R3(config-if)#ip flow egress
Ensuite, nous pouvons choisir la destination
R3(config)#ip flow-export destination 10.0.1.1 2055 (port UDP utilisé).

il faut aussi choisir la version de Netflow à utiliser.

R3(config)#ip flow-export version ? 1 5 9
Il est aussi possible de choisir la source de l’envoie.
R3(config)#ip flow-export source fastEthernet 0/0
Il faut savoir que Netflow est aussi supporté par de nombreux autres
constructeurs et qu’il existe une version standardisée appelée IPFIX.

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 28
 Examen des modèles de trafic
Vérification de NetFlow

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 29
Examen des modèles de trafic
Identification des fonctions du collecteur NetFlow

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 30
 Examen des modèles de trafic
Analyse NetFlow avec un collecteur NetFlow

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 31
 Chapitre 8: Résumé
Syslog, SNMP, and NetFlow are the tools a network administrator
uses in a modern network to manage the collection, display, and
analysis of events associated with the networking devices.
Syslog provides a rudimentary tool for collecting and displaying
messages as they appear on a Cisco device console display.
SNMP has a very rich set of data records and data trees to both set
and get information from networking devices.
NetFlow and its most recent iteration, Flexible NetFlow, provides a
means of collecting IP operational data from IP networks.
NetFlow provides data to enable network and security monitoring,
network planning, traffic analysis, and IP accounting.
NetFlow collectors provide sophisticated analysis options for
NetFlow data.

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 32
 33

Merci Pour Votre

Attention ☺

Presentation_ID © 2008 Cisco Systems, Inc. All rights reserved. Cisco Confidential 33