Operar um provedor sem flow é dirigir de olhos fechados. O NetFlow (e seus primos IPFIX e sFlow) transforma o tráfego que passa pela sua borda em dados: quem fala com quem, por onde, quanto e usando o quê.
O que o flow te dá
- Top talkers — quais IPs/assinantes consomem mais banda agora.
- Por ASN e destino — para onde vai seu tráfego (Google, Netflix, CDNs) — base para decisões de peering e cache.
- Por interface e aplicação — onde está o gargalo e o que o está causando.
- Anomalias — picos fora do padrão que indicam ataque ou falha.
NetFlow, IPFIX ou sFlow?
NetFlow/IPFIX exporta registros de fluxo agregados (uma entrada por conversa). sFlow envia amostras de pacotes. Para visibilidade de ISP, qualquer um serve — o importante é o roteador exportar e você ter um coletor para receber, guardar e analisar.
Como habilitar (visão geral)
No roteador de borda, você aponta a exportação de flow para o IP e porta do coletor. Em linhas gerais:
- Defina o coletor (IP:porta, ex. 2055) e a versão (IPFIX/NetFlow v9).
- Ative a exportação nas interfaces de borda/uplink (onde o tráfego interessa).
- Se o volume for alto, use amostragem (sampling) — 1:1000, por exemplo — para não sobrecarregar o roteador.
Mikrotik, Huawei, Juniper e Cisco têm cada um sua sintaxe, mas o conceito é o mesmo: exportar flow para um coletor.
O que olhar primeiro
Nos primeiros dias, foque em: top talkers (achar abuso e capacity), tráfego por ASN (oportunidades de peering/cache) e a linha de base por interface (para reconhecer o que é anormal depois).
Como o Sentinela usa o flow
O Sentinela recebe o NetFlow/IPFIX da sua borda e mostra top talkers, ASN com nome e bandeira, aplicação, duração e volume das conexões — e ainda usa o mesmo flow para detectar anomalias e disparar mitigação. É a base para enxergar e para reagir, num painel só.