IPFIX（Internet Protocol Flow Information Export）

IPFIX（IP Flow Information Export）は、ネットワーク上で観測したパケットを共通属性ごとのフローとして集計し、その測定結果をExporterからCollectorへ送るためのIETF標準プロトコルです。通信量分析、容量設計、障害調査及びセキュリティ監視に利用します。

■ 試験で押さえるポイント

• フローは、ある観測点を一定時間内に通過し、送信元・宛先IPアドレス、プロトコル、ポート、入力インタフェース等の定義された共通属性を満たすパケット集合です。どの属性をキーにするかで、同じ通信が一つ又は複数のフローになります。

• Observation Pointでパケットを観測し、Metering Processが分類、時刻記録、カウンタ更新、サンプリング及び満了判定を行ってFlow Recordを作り、Exporting ProcessがCollectorへIPFIXメッセージとして送信します。

• Flow Recordには、フローのキーに加え、開始・終了時刻、パケット数、オクテット数、TCPフラグ、入出力インタフェース又は次ホップなどを含められます。利用可能なInformation Elementは機器とテンプレートによって異なります。

• IPFIXはTemplate Recordで後続Data Recordのフィールド型・長さ・順序を定義します。Collectorが対応するTemplateを受信していなければData Recordを正しく解釈できないため、特にUDP転送ではテンプレート再送と有効期間の管理が重要です。

• フロー記録は通常、全パケットのペイロードを保存するパケットキャプチャではありません。保存量と分析負荷を抑えられる一方、アプリケーション内容や個々のパケット順序は分からず、サンプリング時には短い通信や正確な総量を見落とす可能性があります。

• Collectorはシーケンス番号から記録の欠落・順序異常を検出できますが、失われた観測データを自動復元するわけではありません。Exporterの処理能力、キャッシュ枯渇、転送路混雑、時刻同期及びCollector容量を監視します。

• フロー情報には利用者、通信相手、時刻及び行動パターンが含まれ得ます。ExporterとCollectorの認証・転送保護、アクセス制御、保存期間、改ざん検知及び個人情報・通信の秘密への配慮が必要です。

■ 過去問での着眼点

IPFIXは観測したパケットをフロー単位に集計した記録をExporterからCollectorへ送り、TemplateがData Recordの構造を定義します。パケットキャプチャのように全ペイロードを保存する仕組みではありません。観測点、フローキー、サンプリング及び欠落の有無を確認して分析結果を解釈します。Templateを受信しなければData Recordを解釈できない点がプロトコル上の重要事項です。

例: 送信元、宛先、プロトコル、両ポートの5項目をキーにし、$10.0.0.5:53000$から$192.0.2.53:53$へのUDPパケット20個・合計2,400オクテットを一つのFlow RecordとしてCollectorへ送ります。DNSの問い合わせ内容そのものは、対応要素や別の取得がなければ分かりません。