Traffic Sentinel : ヘルプ(Help)
ヘルプ(Help) インデックス(Index) トップ(Top) > ファイル(file) > 設定(Configure)

はじめに

Traffic Sentinelの初期設定

ユーザがソフトウェア キーを入力してサーバーを初めて起動すると、最小限の環境設定が自動的に行われます。

マニュアル作業によるデバイスの設定

sFlow®、NetFlow™、IPFIX、またはLFAPを送信するようにネットワーク デバイスをマニュアル作業で設定する必要がある場合は、ファイル(file)>ステータス(Status)ページで指定されているポートを使ってTraffic Sentinelにデータを送信するように設定してください。環境設定によっては、該当しているグループ内に新規エージェントが表示されます。そのエージェントのIPアドレスを含むグループがTraffic Sentinelの環境設定内にない場合は、そのエージェントは"other"というゾーン内のトラフィック(Traffic)>ステータス(Status)の下に表示されます。IPFIX、NetFlowおよびLFAPの場合はインターフェース カウンタは含まれないので、サーバーはそれらについてのポーリングをSNMPにより自動的に開始します。

デバイスの自動設定

sFlow MIBで自動設定できるデバイスがネットワークに含まれている場合は、それらの各デバイス用にエージェント セクションを追加するか、エージェント範囲セクションを追加して"スキャン(scan)"フラグを有効にする必要があります。変更をただちに有効にするためには、ファイル(file)>コントロール(Control)ページを用いて新規スキャンを開始してください。このようにして見つかったデバイスはsFlowについてテストされ、可能なら自動設定されます。これらのデバイスは、サーバーからのSNMP SET要求を受け付けるように設定しておく必要があります。

注記: sFlow MIBを使用できなくてHP XRMON MIBが存在する場合は、代わりにXRMONが使用されます。

デバイス カウンタのポーリング

サーバーにサポートされている埋め込み型モニタリング ソリューションを提供しないデバイスがネットワークに含まれている場合でも、インターフェース カウンタのトレンドを収集し、トポロジーを解決してエンドホストをそれらのポートに配置するのが賢明です。その場合は、そのような各デバイスについて個別にエージェント セクションを作成することにより、サーバーがSNMPを用いてインターフェース カウンタをポーリングしたり、トポロジー ディスカバリーとエンドホスト配置に用いられるデータを収集できるようになります。

上述のように、このカウンタ ポーリングは、IPFIX、NetFlow™、またはLFAPを送信するデバイスについても自動的に開始されます。

レポートの設定

ネットワーク状況の可視性をできる限り高めるために、たくさんのレポートをネットワークに合わせて作成し、定期的に実行されるようにスケジュールすることができます。Traffic Sentinelをユーザのネットワークに適合させるために、レポートの設定を行います。

セキュリティ シグネチャ

Traffic Sentinelは、すでに作り込まれている数々の有効なセキュリティ ルールとともに起動されます。あるルールでマッチしたパケットが疑わしい場合は、ただちにセキュリティ ルールによりアラートをトリガすることができます。セキュリティ ルールをネットワークに合わせて調節したり、新規ルールを追加してセキュリティを強化できます。詳細についてはセキュリティ(Signatures)>設定(Configure)を参照してください。

イベント フォワーディング

イベント(Events)>リスト(List)に表示されるイベントは、スクリプトで処理し以下の手段で転送することができます。

RSSフィールドを使用するには、追跡するイベント リストを選択してから、ボタンをクリックします。各イベントについてスクリプト/usr/local/inmsf/scripts/eventScriptが呼び出されるので、他のイベント フォワーディング オプションも使用できます。提供されているスクリプトを編集したり交換したりして処理をカスタマイズすることができます。スクリプトは global.prefsファイル内から該当する設定を採用します。たとえば、イベントをシステム ログに記録し、operator@mycompany.comのアドレスにEメールで転送し、さらにホスト10.10.1.25にトラップとして送信したい場合は、ファイル/usr/local/inmsf/etc/config/global.prefsを編集して以下の行を追加してください。

  event.syslog = YES
  event.mail = operator@mycompany.com
  event.trap = 10.10.1.25

メール転送を成功させるために、サーバーにサービスsendmailを設定しておく必要があります。

トラップ転送を成功させるために、rpmパッケージnet-snmp-utilsをインストールしておく必要があります。トラップについてはtrapMIB仕様に定義されています。

Traffic Sentinelの設定

セクション(Section)の設定

サーバー（Server）

階層の設定

ゾーン（Zone）

グループ（Group）

CIDR

CIDRは、エンドホストをグループ（Group）に関連付けるために使用されます。CIDRは、Addressと、サブネット マスクに関連付けられているビット・マスク（Mask Bits）数により定義されます。これらはユーザのルーターに使用されているサブネットとマッチする必要がなく、互いに重複している場合もあります。たとえば、CIDR "128.141.0.0/16"が含まれる"all"というグループを作成してから、それより小さいCIDR "128.141.122.0/24"のグループを別に作成した場合、アドレスをグループに割り当てる時には、それらのアドレスを含む最小のCIDRが使用されます。このようにしてホストをグルーピングすると、セキュリティ ルールを定義する時（セキュリティ(Signatures)>設定(Configure)を参照）や、トラフィックを表示する時（トラフィック(Traffic)>サークル(Circles)を参照）に便利です。

CIDR(IPv6)

IPv6 CIDRは、グループとIPv6ホストを関連付けるために使用されます（上記CIDR参照）。

エージェント範囲（Agent Range）

エージェント範囲は、モニタ対象となるネットワーク デバイスを含むIPアドレスの範囲を定義するものです。

エージェント（Agent）

インターフェース（Interface）

インターフェースは、特別な設定（カスタムしきい値など）をそのインターフェースに適用しようとする場合に限り定義する必要があります。それ以外の場合、インターフェースは自動検知されます。

設定

以下の設定は、環境設定の任意の階層について行うことができます。

しきい値（Threshold）

しきい値設定により、インターフェース パラメーターにしきい値が適用されます。パラメーター（Metric）としきい値（Limit）、あるいはしきい値をトリガするパラメーター値を指定してください。超過時間(分)（Minutes over Limit）およびトータル時間(分)（Total Minutes）の設定は、アラートが生成されるためにパラメーターがしきい値を越える必要のある時間を指定するために使用されます。たとえば、超過時間(分)（Minutes over Limit）が5、トータル時間(分)（Total Minutes）が10に設定されている場合、いずれかの10分間の期間内にしきい値を超えている時間が5分あった場合は、アラートが生成されます。最小 ifSpeed（Min. ifSpeed）および最大 ifSpeed（Max. ifSpeed）は、特定の速度のリンクだけにしきい値のスコープを制限するために使用されます。この設定により、しきい値は、指定された速度範囲のインターフェースだけに適用されます。これを利用すると、インターフェース速度に応じて様々なしきい値設定を適用することができます。最後に、有効（Enable）フラグを使用すると、特定のしきい値を無効（Disable）にしたり有効（Enable）にできます。

SNMP（SNMP）

SNMP設定は、サーバーがSNMPを使用してエージェントに働きかける方法をコントロールします。Read Communityは、エージェント範囲 (Address Range)内のエージェントをスキャンする時に使用されます。また、カウンタをポーリングする時やエージェント設定を読み取る時にも使用されます。SNMP-SETオペレーションを実行する時には、Write Communityが使用されます。Write Communityが設定されない場合は、GETとSETの両方のオペレーションにRead Communityが使用されます。最後に、有効（Enable）フラグを使用すると、エージェントへのSNMPアクセスを無効（Disable）または有効（Enable）にすることができます。SNMPは、非sFlowデバイスからインターフェース名やエージェント情報を取得し、非sFlowデバイスのカウンタをポーリングするために使用されます。SNMPを無効にする方がよいのは、デバイスの管理に関知しない場合だけです。

User、Auth. Protocol、Auth Password、Priv. Protocol、およびPriv. Passwordの設定が必要なのは、SNMPv3が使用される場合だけです。

サンプリング（Sampling）

このサンプリング設定は、sFlow（またはXRMON）MIBを使用するエージェントの設定時に使用されるパケット サンプリング レートを指定するものです。サンプリング・レート（Sampling Rate）は、サンプリングされるパケットの割合を定義します。たとえば、100という値は、平均して100パケット中1パケットが採取されることを意味します。最小 ifSpeed（Min. ifSpeed）および最大 ifSpeed（Max. ifSpeed）の設定により、各インターフェースにそれぞれの処理速度に応じたサンプリング レートを設定することができます。インターフェースはMin <= ifSpeed < Maxという条件を満足する最初のエントリにマッチします。一般に、大きいサンプリング・レート（Sampling Rate）設定値は高速のインターフェースに使用されます。通常はデフォルトの設定で十分です。CLIを用いてマニュアル作業でサンプリング設定を行う場合にも、デフォルト設定は便利な目安になります。

エージェント上でそのCLIを用いてsFlowが設定されると、このパラメーターは無効になります。エージェントで設定されたサンプリング レートが採用され、ここに設定されているすべての値が上書きされます。

同様に、エージェントがIPFIX、NetFlowまたはLFAPフロー レコードを送信する場合、エージェントで使用されるパケット サンプリング レートは、データ パケット内のフィールドに示されるのが普通です。その場合にも、エージェントで設定されたサンプリング レートが採用されます。

エージェントがパケット サンプリングをまったく行わないで、すべてのパケットに基づいて生成されたフローレコードを送信する場合は、ここで設定されるサンプリング レート値が適用され、そのパケット サンプリング レートがフローキャッシュより前にエージェントに適用された場合と同等の結果が得られるようになります。

エージェントがパケット サンプリングを使用するのに、データ パケット内にサンプリング レートを表示しない場合は、以下の手順を実行する必要があります。

  1. このエージェントだけのために、特別のsamplingエントリを追加します。
  2. サンプリング レート設定をエージェントで使用されるレートと同じにします。
  3. XML環境設定を直接編集して、その<sampling>セクション内の追加パラメーターとして以下の行を追加します。preSampled="true"

設定の概要

Traffic Sentinelの環境設定を行うことにより、ユーザはサーバーにモニタの対象と方法を指示することができます。

環境設定は、サーバー上でXML文書として表示されます。ユーザはXMLディレクトリを表示し編集したり、付属のグラフィカル エディタを使用できます。オプション（Options）ペーンでは、以下を設定できます。


構成階層

構成は以下のような階層的なツリー構造で表現されます。

注記: ここで、CIDR（Classless Inter-domain Routing）という語は、以下の形式で表現される任意のIPサブネットの意味で使用されています。 アドレス/ビット マスク

1つのサーバーが担当するのは常に1つのサイト（1つの「サイト」が複数のロケーションにまたがっている場合があります）だけなので、エンタープライズ（enterprise）およびサイト（site）のレベルは固定です。ゾーンおよびグループのレベルは固定ではなく、それぞれ必要な数だけ定義でき、それぞれに任意の名前をつけることができます。一般的な慣例では、ゾーンは明確なロケーションを表し、グループは個々の建物やフロアを定義します。また、ネットワークのコアとエッジは区別されるのが普通です。典型的な設定ではネットワークが約10個のゾーンに区分されます。各ゾーン内の各グループはエンドホスト スペースを定義するCIDRの集合を表し、エージェントは個々のスイッチまたはルーターを表し、エージェント範囲はスイッチまたはルーターを見つける対象となるアドレスの範囲を表します。インターフェースについては、そのインターフェースについての設定をオーバーライドしたい場合以外は特に定義する必要はありません。

このツリー構造を使うと、エンドホストとそれらを接続するデバイスを、たとえそれらのアドレス スペースが重複しない場合でも、論理的なグループにまとめることができます。

この構造により、アドレス スペースとエージェントをナビゲート可能なツリーに分けることができるだけでなく、さらにしきい値、SNMPおよびサンプリングの設定をツリーの任意のレベルに設定することもできます。たとえば、あるゾーンに適用されるしきい値は、同じしきい値の設定が特定のグループ、エージェントおよびインターフェースについてオーバーライドされていない限り、そのゾーンに分類されるすべてのインターフェースに適用されます。

その他の環境設定ファイル

サーバーにログインして/usr/local/inmsf/etc/configディレクトリにある以下のファイルを編集することで、その他の環境設定を調整することができます。

  1. global.prefs

    XML環境設定に含まれないその他の設定のために使用されるファイルです。

  2. protocols.txt

    ウェルノウン プロトコル ポートに関連付けられている名前が設定されているファイルです。

  3. protocolPriorities.txt

    TCPポートおよびUDPポートの優先順位を制御するファイルです。コネクションのどちら側がクライアントでどちら側がサーバーかを判断するために使用されます。フロー内のソースとデスティネーションのポート番号を比較した場合、優先度が高い方（このリスト内で上に表示されている方）をサーバー ポートと見なします。

  4. protocolGroups.txt

    プロトコルのグループを分類してそれらに名前を付けるために使用されます。各行の形式は以下のとおりです。

      name,protocol,port-range[,port-range...]

    セミコロン';'は、コメント フィールドを示すために使用されます。このファイルの内容を変更すると、変更がprotocolgroupフィールドにただちに反映されます。

その他の環境設定

環境設定テキスト ファイル/usr/local/inmsf/etc/config/global.prefs内の各行の形式は以下のとおりです。

  variable = value

セミコロン';'は、コメント フィールドを示すために使用されます。

これらの設定が読み取られるのは、プロセス開始時だけです。プロセスの中には連続的に稼働するものもあるので、新しい設定を有効にするためには、そのようなプロセスを再起動する必要があります。ファイル(file)>コントロール(Control)ページでは、データ収集プロセスとWebサーバー プロセスのどちらの再起動もできるようになっています。下の表の"再起動"列は、（再起動が必要な場合）どちらの再起動が必要かを示しています。

設定値 デフォルト値 説明 再起動
dns.localsuffix 未設定 この値を".mycompany.com"にすると、このサフィックスが付いているDNS名が、ショート形式（このサフィックスが取り除かれた形式）で表示されます。 Webｻｰﾊﾞｰ
SNMPCounterPollInterval  30（秒） XML環境設定ファイル内でオーバーライドされていない場合、エージェントからSNMPを用いてインターフェース カウンタをポーリングする際のポーリング インターバルとしてこの値が使用されます。 ﾃﾞｰﾀ・ｺﾚｸｼｮﾝ と Webｻｰﾊﾞｰ
SFlowSamplePort  6343 sFlow®をリッスンするUDPポート ﾃﾞｰﾀ・ｺﾚｸｼｮﾝ と Webｻｰﾊﾞｰ
IPFIXPort  4739 IPFIXをリッスンするUDPポート ﾃﾞｰﾀ・ｺﾚｸｼｮﾝ と Webｻｰﾊﾞｰ
NetFlowPort  9985 NetFlow™（バージョン1、5、7または9）をリッスンするUDPポート ﾃﾞｰﾀ・ｺﾚｸｼｮﾝ と Webｻｰﾊﾞｰ
SFlowMIBSamplePort  26343 sFlow MIBデータ用のUDPポート（SNMPにより自動設定されます。） ﾃﾞｰﾀ・ｺﾚｸｼｮﾝ と Webｻｰﾊﾞｰ
XRMONSamplePort  19985 Hewlett Packard XRMONデータ用のUDPポート（SNMPにより自動設定されます。） ﾃﾞｰﾀ・ｺﾚｸｼｮﾝ と Webｻｰﾊﾞｰ
session.timeout  1800（秒） ここに設定されている時間だけセッションもアイドル状態が続くと、セッションが終了し、ユーザはログインし直さなければならなくなります。
chart.topn.color.<n> Top N や Circles チャート内のデータに使用されるデフォルト色 Webｻｰﾊﾞｰ
chart.trend.color.<n> Trend チャート内のデータに使用されるデフォルト色 Webｻｰﾊﾞｰ
report.readurl.protocol.http  YES NOにすると、"http"で始まるURLへのスクリプト アクセスができなくなります。
report.readurl.protocol.https  YES NOにすると、"https"で始まるURLへのスクリプト アクセスができなくなります。
report.readurl.protocol.file  NO YESにすると、"file"で始まるURLへのスクリプト アクセスが可能になります。
report.readurl.protocol.file.path  <not set> directory pathをセットすると、そのパス内のファイルのみを読むことができます。 Webｻｰﾊﾞｰ
report.write.allow  NO YESにすると、レポートスクリプトにファイル書き込みを可能にします。 Webｻｰﾊﾞｰ
report.write.path  <not set> directory pathをセットすると、そのパス内のファイルのみに書き込みを可能にします。 Webｻｰﾊﾞｰ
report.runcmd.allow  NO YESにすると、レポートスクリプトにシェル・コマンドの実行を可能にします。 Webｻｰﾊﾞｰ
report.clifunctions.allow NO YESにすると、レポートスクリプトに全てのCLI権限レベルのコマンドの実行を可能にします。 Webｻｰﾊﾞｰ
report.chart.<type>.alpha 1.0 デフォルト・チャートの透明性 Webｻｰﾊﾞｰ
report.chart.<type>.threeD NO デフォルト・チャートの３D表示 Webｻｰﾊﾞｰ
report.chart.<type>.backgroundColor white デフォルト・チャートのバックグラウンドの色 Webｻｰﾊﾞｰ
report.chart.<type>.plotColor light_gray デフォルト・チャートのプロット・エリアの色 Webｻｰﾊﾞｰ
report.chart.<type>.axisColor black デフォルト・チャートの軸の色 Webｻｰﾊﾞｰ
report.chart.<type>.tickmarkColor dark_gray デフォルト・チャートの軸目盛の色 Webｻｰﾊﾞｰ
report.chart.<type>.gridColor white デフォルト・チャートの格子の色 Webｻｰﾊﾞｰ
report.chart.<type>.height 300 デフォルト・チャートの高さ Webｻｰﾊﾞｰ
report.chart.<type>.width trend=800,default=400 デフォルト・チャートの幅 Webｻｰﾊﾞｰ
report.chart.trend.step NO トレンドラインの表示のデフォルト設定 Webｻｰﾊﾞｰ
report.chart.color.<n> データに対して使用されるデフォルト色 Webｻｰﾊﾞｰ
report.chart.format png チャートのイメージのエンコーディング、オプションは、png, gif, jpeg Webｻｰﾊﾞｰ
mail.chart.format 未設定 電子メールレポートの report.chart.format設定のオーバーライド Webｻｰﾊﾞｰ
mailfrom <user@server> 電子メール・イベントやレポートのアドレスのオーバーライド Webｻｰﾊﾞｰ
event.url.host 未設定 Traffic Sentinel へのリンクに対するURL内のホスト名のオーバーライド Webｻｰﾊﾞｰ
event.url.scheme http Traffic Sentinel へのリンクに対するURL内のスキーマのセット Webｻｰﾊﾞｰ
event.url.port 未設定 Traffic Sentinel へのリンクに対するURL内のポートのオーバーライド Webｻｰﾊﾞｰ
interface.name  ifName インターフェースの命名規則を制御します。有効な設定値はifName、ifAlias、ifDescrまたはifIndex（あるいは、これらに対する優先度順別のカンマ区切りのリスト）です。 Webｻｰﾊﾞｰ
agent.name  sysName エージェント名の命名ルールの設定。sysName, DNS, IP が設定可能。 ﾃﾞｰﾀ・ｺﾚｸｼｮﾝ と Webｻｰﾊﾞｰ
link.agent.label.0  未設定 検索(Search)> エージェント／インターフェース(Agent/Interface)ページに追加されるリンクの名称を指定します。 . Webｻｰﾊﾞｰ
link.agent.url.0  未設定 検索(Search)> エージェント／インターフェース(Agent/Interface)ページに追加されるリンクを指定します。 URL文字列内に {0} を指定すると、エージェントのIPアドレスと置換します。 Webｻｰﾊﾞｰ
link.interface.label.0  未設定 検索(Search)> エージェント／インターフェース(Agent/Interface)ページに追加されるリンクの名称を指定します。 . Webｻｰﾊﾞｰ
link.interface.url.0  未設定 検索(Search)> エージェント／インターフェース(Agent/Interface)ページに追加されるリンクを指定します。 URL文字列内に {0} を指定すると、エージェントのIPアドレスと置換し、{1} を指定すると ifindex と置換します。 Webｻｰﾊﾞｰ
link.host.ipv4.label.0  未設定 検索(Search)> ホスト(Host)ページに追加されるリンクの名称を指定します。 Webｻｰﾊﾞｰ
link.host.ipv4.url.0  未設定 検索(Search)> ホスト(Host)ページに追加されるリンクを指定します。URL文字列内に {0} を指定すると、ホストのIPアドレスと置換します。 Webｻｰﾊﾞｰ
link.host.ipv6.label.0  <not set> > ホスト(Host)ページに追加されるリンクの名称を指定します。 Webｻｰﾊﾞｰr
link.host.ipv6.url.0  <not set> > ホスト(Host)ページに追加されるリンクを指定します。URL文字列内に {0} を指定すると、ホストのIPv6アドレスと置換します。 Webｻｰﾊﾞｰr
link.host.mac.label.0  未設定 検索(Search)> ホスト(Host)ページに追加されるリンクの名称を指定します。 Webｻｰﾊﾞｰ
link.host.mac.url.0  未設定 検索(Search)> ホスト(Host)ページに追加されるリンクを指定します。URL文字列内に {0} を指定すると、ホストのMACアドレスと置換します。 Webｻｰﾊﾞｰ
link.protocol.label.0  未設定 検索(Search)> プロトコル(Protocol)ページに追加されるリンクの名称を指定します。 Webｻｰﾊﾞｰ
link.protocol.url.0  未設定 検索(Search)> プロトコル(Protocol)ページに追加されるリンクを指定します。URL文字列内に {0} を指定すると、プロトコル と置換し、{1} を指定すると ポート番号 と置換します。 Webｻｰﾊﾞｰ
report.snmp.allow  YES レポートテンプレートやスクリプトから生成されるSNMPリクエスト発行の許可を行なう。 Webｻｰﾊﾞｰ
search.snmp.allow  YES Search > Host で生成されるSNMPリクエスト発行の許可を行なう。 Webｻｰﾊﾞｰ
search.ssh.user  未設定 指定したユーザ名を使用し 検索(Search)>エージェント／インターフェース(Agent/Interface) ページ内にSSHリンクを作成します。 Webｻｰﾊﾞｰ
config.topbuttonthreshold  20 コンフィグレーション・リスト内のアイテムの数を指定します。 Webｻｰﾊﾞｰ
radius.authport  1812 RADIUS authentication requestに対するUDPポートのセット web server
radius.timeout  5 RADIUSリクエストのレスポンスに対する待ち時間の秒数を指定します。 Webｻｰﾊﾞｰ
radius.retries  3 ユーザ認証の試行を停止するまでのRADIUSリクエストの数を指定します。 Webｻｰﾊﾞｰ
Threshold.exclude.ifType  1-3,72-116,118-160,162-200 これらのインターフェース・タイプ(例："53,135")に対してしきい値が無視される。 ﾃﾞｰﾀ・ｺﾚｸｼｮﾝ