ネットワークトラフィックフローの監視

最終更新日：2026年7月20日

概要

ネットワークトラフィックフロー (NetFlow) モニタリングは、IP ネットワークトラフィックがインターフェイスに出入りするときに収集します。 LogicMonitor コレクタは、一般的なフローエクスポートプロトコルをサポートするリソースからデータを受信して分析します。 LogicMonitor は、次の統計についてレポートできます。

トップトーカー
上位の送信元/宛先エンドポイント
トップフロー
トップポート
トップアプリケーション
サービス品質（QoS）

次のネットワークフローエクスポートプロトコルがサポートされています。

NetFlow バージョン 5、7、および 9
柔軟なネットフロー
IPFIX
sFlow バージョン 1、3、および 5。
JFlow バージョン 5
NBAR2

注意：

sFlow バージョン 5 には、LogicMonitor Collector バージョン 29.105 以降が必要です。
NBAR2 データを収集する機能は、LogicMonitor Enterprise アカウントに限定されており、LogicMonitor Collector バージョン 29.101 以降が必要です。 NBAR2 データを収集する場合は、LogicMonitor Collector の netflow.nbar.enable プロパティを TRUE に設定する必要があります。詳細については、この記事の「ネットワークトラフィックフローを監視するための LogicMonitor コレクタの構成」セクションを参照してください。

サンプリングされたフローのエクスポートの場合、LogicMonitor は、エクスポート元がサポートされているサンプラーオプションフィールドを送信し、かつ LogicMonitor コレクターでサンプリングが有効になっている場合にのみ、サンプリング補正を適用します。

標準のIPFIXサンプリング情報要素は現在認識されていません。エクスポート元がこれらのサンプリングフィールドのみを提供する場合、サンプリングされたトラフィックは実際のトラフィック量よりも少なく表示される可能性があります。

LogicMonitorは、NetFlowおよびIPFIXエクスポートにおける自律システム番号（ASN）の表示をサポートしています。sFlowエクスポートではASNフィールドは想定されていません。

ベストプラクティス

Collector に、ネットワークトラフィックフローを監視する能力があることを確認します。詳細については、次を参照してください。コレクター容量.
LogicMonitor Collectorとリソース間のネットワークホップ数を最小限に抑えてください。ネットワークフローレコードはUDP通信プロトコルを使用して送信されます。UDPによる配信は保証されないため、ネットワークの混雑や複雑さによるフローの中断を最小限に抑えるために、LogicMonitor Collectorからリソースまでのネットワークホップ数を可能な限り少なくしてください。
送信元リソースとLogicMonitorコレクターをホストしているリソース間でクロックを同期してください。リソースが異なるタイムゾーンにある場合は、UTCを使用するか、単一のタイムゾーンに統一してください。
ポートの競合を解消してください。ネットワークトラフィックデータを収集するホストでは、同じポートで他のネットワークトラフィックアナライザーがリッスンしていないことを確認してください。競合が発生すると、LogicMonitorにトラフィックデータが表示されなくなる可能性があります。
エクスポートツールがサンプリングを使用する場合は、サポートされているサンプラーオプションフィールドを出力することを確認してください。
ASNの可視性が必要な場合は、NetFlowまたはIPFIXエクスポーターを使用してください。
NBARおよびサンプリングに必要なコレクター機能フラグが、これらのオプションテンプレートが想定される場合に有効になっていることを確認してください。

ネットワークトラフィックフロー監視用のLogicMonitorコレクターの構成

デフォルトでは、コレクタは、ほとんどの場合変更を必要としない標準のネットワークトラフィックフロー監視設定でインストールされます。ただし、デフォルト設定をオーバーライドして、監視環境固有のニーズを満たすことができます。

`netflow.enable`	ブーリアン	`TRUE`	If `TRUE`コレクター上でネットワークフローモジュールが有効になっています。
`netflow.ports`	整数	`2055`	ネットワークフロープロトコルデータ用の UDP リスニングポート。フローデータを送信するリソースの UDP ポートは、ここで指定された UDP ポートと一致する必要があります。複数のポートで複数のプロトコルをサポートするために、複数のポートを設定できます (たとえば、 `netflow.ports=2055,4739`).
`netflow.sflow.ports`	整数	`6343`	sFlowプロトコルデータのUDPリスニングポート。
`netflow.datadir`	String	`netflow`	HSQLデータベースへのパス。
`netflow.datadir.maxSizeInMB`	整数	`10240`	ネットワークフローデータディレクトリの最大サイズ（メガバイト単位）。
`netflow.log.maxNumPerMinute`	整数	`5`	ネットワークフロー監視中に1分間に書き込まれるログエントリの最大数。
`netflow.netflow9.templateLife`	整数	`720`	NetFlowバージョン9テンプレートの有効期限（時間単位）。
`netflow.topFlowSamples`	整数	`1000`	トップフローサンプルの最大数。許容値の範囲は `100` 〜へ `2000`.
`netflow.ignoreTimestampValidate`	ブーリアン	`FALSE`	If `TRUE`コレクターはネットワークフローリソースの時間情報を無視します。現在、デフォルト設定をオーバーライドする必要があることがわかっているリソースは `FALSE` 値はSonicWallデバイスです。
`netflow.nbar.enable`	ブーリアン	`FALSE`	If `TRUE`コレクターは、 `applicationID` (NAIST) と `ApplicationType` フィールド。LogicMonitor EnterpriseおよびCollectorバージョンが必要です。 `29.101` 以降。
`netflow.ipv6.enabled`	ブーリアン	`TRUE`	If `FALSE`コレクターは、IPv6アドレスを持つフローを無視します。
`netflow.log.largeBytesOrPackets`	整数	`1073741824`	監査ログに、指定された整数値を超えるパケット数またはバイト数を含むログフローが記録されます。
`netflow.sampling.enabled`	ブーリアン	×	TRUEの場合、コレクターはNetFlow v9およびIPFIX（NetFlow v10）でサポートされているサンプラーオプションテンプレートを解析し、サンプリング情報を適用します。

LogicMonitorでのネットワークトラフィック監視の有効化

ネットワークトラフィックの監視は、リソースごとに有効になります。

ネットワークトラフィックの監視を有効にするには、次の手順を実行します。

LogicMonitorで、「リソース」ページに移動し、ネットワークトラフィック監視を有効にするリソースを探します。
リソースを選択した状態で、管理
管理ページから、 ネットワークフロー分析を有効にする スイッチ。
エクスポートされたネットワークフローデータの受信に使用されるコレクタを選択します。ネットワークフローの収集義務は、Auto-Balanced Collector Group に割り当てることはできません。
選択 Save.

注意： ネットワークフローエクスポーターが、リソースの監視対象 IP アドレスとは異なる IP アドレスからデータを送信している場合は、リソースの netflow.allowips プロパティを、ネットワークフローの発信元の IP アドレスでカスタマイズします。このプロパティは、値として単一の IP またはカンマ区切りのリストを受け入れます。詳細については、次を参照してください。リソースとインスタンスのプロパティ.

リソースでのネットワークトラフィックフローモニタリングの有効化

LogicMonitor でネットワークトラフィックの監視を有効にするだけでなく、リソースでも有効にする必要があります。構成は、使用しているリソース、ベンダー、ネットワークトポロジ、およびプロトコルによって異なります。特定のリソースについて、製造元のガイドラインを確認することをお勧めします。

次のリソース構成は、すべてのプロトコルに適用できます。

ネットワークフローモニタリングは、インターフェイスごとに有効にする必要があります。
バージョン番号を指定する必要があります。
フローエクスポータのソースインターフェイスを指定する必要があります。
エクスポータ用に構成された UDP ポートは、コレクタの agent.conf ファイルで指定されたポートと一致する必要があります。詳細については、この記事の「ネットワークトラフィックフローを監視するための LogicMonitor コレクタの構成」セクションを参照してください。
リソースのクロックは、コレクタホストのクロックと同期する必要があります。
宛先（LogicMonitorコレクター）のIPアドレスを指定する必要があります。
(NetFlow バージョン 9 のみ) 追加のテンプレート構成オプションを設定する必要があります。
(sFlow のみ) パケットデータは、 enterprise=0 (NAIST) と format=1 RFC2233 で説明されているパケット構成。さらに、sFlow はポート 6343 を使用します。
(NBAR2) オプションアプリケーションテーブル (NAIST) とオプションアプリケーション属性リソースのエクスポーター構成で有効にする必要があります。詳細については、シスコの NBAR構成ガイド.

サンプル構成

以下は、NetFlow バージョン 9 リソース構成のサンプルです。これらの設定例は、シスコが更新を行うにつれて古くなる可能性があるため、シスコの NetFlow設定 (NAIST) と柔軟なNetFlow構成最新の情報を確保するためのガイド。

Cisco IOS 3745ルータ– NetFlowバージョン9、メインキャッシュエクスポート

グローバル設定を構成します：送信元インターフェース、NetFlowバージョン、ターゲットNetFlowコレクター、およびUDPポート。

開始するには、コマンドラインで次のように入力します。

ルーター＃conf t

次に、グローバル設定の構成を入力します。

Router（config）＃ip flow-export source FastEthernet0/0
Router（config）＃ip flow-export version 9
Router（config）＃ip flow-export destination 10.0.0.10 2055

グローバルテンプレート設定を構成します：リフレッシュレート、タイムアウトレート、およびオプション。

開始するには、コマンドラインで次のように入力します。

ルーター＃conf t

次に、グローバルテンプレート設定の構成を入力します。

Router（config）＃ip flow-export template refresh-rate 15
Router（config）＃ip flow-export template timeout-rate 90
Router（config）＃ip flow-export template options export-stats
Router（config）＃ip flow-export template options refresh-rate 25
Router（config）＃ip flow-export template options timeout-rate 120

インターフェイス設定を構成します。ルートキャッシュフローを有効にします

開始するには、コマンドラインで次のように入力します。

ルーター＃conf t

次に、グローバルテンプレート設定の構成を入力します。

Router（config）＃interface fa0/0
Router（config-if）＃ip route-cache flow

注（パロアルトユーザー）： パロアルトインターフェースの名前をカスタマイズする機能には制限があります。 Palo Altoによると、インターフェイス名は編集できません。ただし、サブインターフェイス、集約インターフェイス、VLANインターフェイス、ループバックインターフェイス、およびトンネルインターフェイスのインターフェイス名に数値のサフィックスを追加することはできます。

注（バラクーダユーザー向け）： IPFIX / NetFlowv9をエクスポートするBarracudaNG Firewallを使用している場合は、相談する必要があります。バラクーダのドキュメント適切な構成のため。具体的には、次の設定を調整する必要があります。「バイト順序」を「リトルエンディアン」に変更し、エクスポートのIPFIXテンプレートを「バラクーダフィールドなしのデフォルト」に変更します。

NetFlowエクスポートに必須およびサポートされるフィールド

コアフィールド

フィールドタイプ	数	詳細説明	コメント
プロトコル	4	IPプロトコルタイプ	必須の
IPV4_SRC_ADDR	8	IPv4送信元アドレス	IPv4 アドレスには必須です。コレクターが IPv6 対応で、フローに IPv6 アドレスが含まれている場合は、 `IPV6_SRC_ADDR` (NAIST) と `IPV6_DST_ADDR` を代わりにお使いください。
IPV4_DST_ADDR	12	IPv4宛先アドレス	IPv4アドレスには必須です
方向	61	流れ方向	オプション。省略した場合、デフォルト値が使用されます。 `0` （イングレス）が使用されます。
SRC_TOS	5	受信インターフェースに入る際のサービスタイプのバイト設定	オプション
DST_TOS	55	送信インターフェースを終了する際のサービスタイプのバイト設定	オプション
TCP_FLAGS	6	フローで観測された累積TCPフラグ	オプション
LAST_SWITCHED_FT	21	フローの最後のパケットが切り替えられた時点でのシステム稼働時間	オプション。省略した場合、現在のエポックタイムがデフォルト値として使用されます。
FIRST_SWITCHED_FT	22	フローの最初のパケットが切り替えられた時点でのシステム稼働時間	オプション。省略した場合、デフォルトは現在のエポック時刻から60秒引いた時刻になります。

マルチキャストグループ

フィールドタイプ	数	詳細説明	コメント
IS-マルチキャスト	206	宛先アドレスが IPv4 マルチキャストアドレス (224.0.0.0～239.255.255.255) であるかどうかを示します。残りのビットは予約されています。	オプション
REPLICATION_FACTOR	99	マルチキャストレプリケーションファクター	オプション
MUL_DST_PKTS	19	IPマルチキャスト送信パケットカウンター	オプション
MUL_DST_BYTES	20	IPマルチキャスト送信バイトカウンター	オプション

インターフェースグループ

フィールドタイプ	数	詳細説明	コメント
入力_SNMP	10	SNMP入力インターフェイスインデックス	INPUT_SNMPまたはOUTPUT_SNMPの少なくとも一方が存在する必要があります。
出力_SNMP	14	SNMP出力インターフェイスインデックス	INPUT_SNMPまたはOUTPUT_SNMPの少なくとも一方が存在する必要があります。

バイトグループ

フィールドタイプ	数	詳細説明	コメント
IN_BYTES	1	IPフローの受信バイトカウンタ	IN_BYTESまたはOUT_BYTESの少なくとも一方が存在する必要があります。
OUT_BYTES	23	IPフローの送信バイトカウンタ	IN_BYTESまたはOUT_BYTESの少なくとも一方が存在する必要があります。

出発港／到着港グループ

フィールドタイプ	数	詳細説明	コメント
L4_SRC_ポート	7	TCP/UDP送信元ポート	L4_SRC_PORTまたはL4_DST_PORTの少なくとも一方が存在する必要があります。
L4_DST_PORT	11	TCP/UDP宛先ポート	L4_SRC_PORTまたはL4_DST_PORTの少なくとも一方が存在する必要があります。

パケットグループ

フィールドタイプ	数	詳細説明	コメント
IN_PKTS	2	受信パケットカウンター	IN_PKTSまたはOUT_PKTSの少なくとも一方が存在する必要があります。
OUT_PKTS	24	送信パケットカウンター	IN_PKTSまたはOUT_PKTSの少なくとも一方が存在する必要があります。

NBARグループ

フィールドタイプ	数	詳細説明	コメント
アプリケーションの説明	94	アプリケーションの説明	アプリケーションの説明またはアプリケーション名のいずれか、少なくとも1つは必ず記載してください。
アプリケーション名	96	分類に関連付けられたアプリケーション名	アプリケーションの説明またはアプリケーション名のいずれか、少なくとも1つは必ず記載してください。
アプリケーションタグ	95	8ビットのエンジンIDに続いて分類ビットが続く	必須の
アプリケーショングループ	12234 / 45002	グループ関連のネットワークアプリケーション	以下のいずれか1つ以上が存在する必要があります：アプリケーショングループ、カテゴリ、暗号化、P2Pテクノロジー、サブカテゴリ、またはトンネルテクノロジー。
製品	12232 / 45000	第一レベルのアプリケーションカテゴリ	上記と同じ要件
暗号化	290	アプリケーションが暗号化されているかどうかを示します	上記と同じ要件
P2Pテクノロジー	288	アプリケーションがピアツーピア技術を使用しているかどうかを示します。	上記と同じ要件
サブカテゴリー	12233 / 45001	第2レベルの申請カテゴリ	上記と同じ要件
トンネル技術	289	アプリケーションが他のプロトコルをトンネルするかどうかを示します。	上記と同じ要件

IPv6グループ

フィールドタイプ	数	詳細説明	コメント
IPV6_SRC_ADDR	27	IPv6送信元アドレス	IPv6フローには必須
IPV6_DST_ADDR	28	IPv6宛先アドレス	IPv6フローには必須
IPV6_SRC_MASK	29	IPv6ソースマスクの長さ	オプション
IPV6_DST_MASK	30	IPv6宛先マスクの長さ	オプション
IPV6_FLOW_LABEL	31	IPv6フローラベル（RFC 2460）	オプション

サンプリンググループ

フィールドタイプ	数	詳細説明	コメント
FLOW_SAMPLER_ID	48	「showflow-sampler」に表示される識別子	オプション
FLOW_SAMPLER_MODE	49	NetFlow v9 スタイルのサンプリングモードでは、アルゴリズムタイプ 0x02: ランダムサンプリングを使用します。	オプション
SAMPLING_ALGORITHM	35	NetFlow v9スタイルのサンプリングアルゴリズム：0x01 決定論的サンプリング、0x02 ランダムサンプリング	オプション
FLOW_SAMPLER_RANDOM_INTERVAL	50	サンプリングするパケット間隔。 FLOW_SAMPLER_MODEと組み合わせて使用します	オプション
サンプリング間隔	34	サンプリングするパケット間隔	オプション
SAMPLER_NAME	84	フローサンプラー名	オプション

注意：

LogicMonitorは現在、上記のNetFlow v9スタイルのサンプリングフィールドをサポートしています。
標準の IPFIX サンプリング情報要素 selectorAlgorithm (304)、samplingSize (309)、および samplingPopulation (310) はサポートされていません。

拡張CiscoASAデバイスグループ

フィールドタイプ	数	詳細説明	コメント
NF_F_CONN_ID	148	固有のフロー識別子	オプション
NF_F_FLOW_CREATE_TIME_MSEC	152	フロー作成タイムスタンプ	オプション
NF_F_EVENT_TIME_MSEC	323	イベントのタイムスタンプ（1970年01月01日UTCからのミリ秒単位）	オプション
NF_F_FLOW_BYTES	85	フローバイト数	Cisco ASA9.0では必須
NF_F_FW_EVENT_90	40005	ファイアウォールイベント	NF_F_FW_EVENT_90 または NF_F_FW_EVENT_91 の少なくとも一方が存在する必要があります。
NF_F_FW_EVENT_91	233	ファイアウォールイベントコード（フロー作成、削除、拒否、アラート、更新）	NF_F_FW_EVENT_90 または NF_F_FW_EVENT_91 の少なくとも一方が存在する必要があります。
NF_F_FWD_FLOW_DELTA_BYTES	231	送信元から送信先へのバイト差	Cisco ASA9.1では必須
NF_F_REV_FLOW_DELTA_BYTES	232	送信元と宛先間のバイト差	Cisco ASA9.1では必須

IPFIX / NetFlow バージョン 10 グループ

フィールドタイプ	数	詳細説明	コメント
フロー開始秒数	150	最初のパケットのタイムスタンプ	オプション
フロー終了秒数	151	最後のパケットのタイムスタンプ	オプション
フロー終了ミリ秒	153	最後のパケットのタイムスタンプ（ミリ秒）	オプション
systemInitTimeミリ秒	160	IPFIXデバイスの最終初期化時のタイムスタンプ	オプション

注意：
LogicMonitorは、下記にリストされている特定のIPFIXフィールドのみをサポートしており、汎用的なIPFIXフィールド全体はサポートしていません。

フローレコードとIPv6フローフィールド。
BGP ASNフィールド。
NBARの申請分野。
Cisco ASA / NSELのフィールドとNetFlow v9スタイルのサンプラーオプションデータ。

ネットワークトラフィックフローデータの表示

ネットワークトラフィックフローデータは、 トラフィック 有効なリソースの [リソース] ページのタブ。詳細については、次を参照してください。ネットワークトラフィックフローデータの表示、フィルタリング、およびレポート.

14日間フルアクセス LogicMonitor プラットフォーム

文化