Berechnen des 95. Perzentils der Nutzung der Datenflussrate in Secure Network Analytics

Einleitung

In diesem Dokument wird beschrieben, wie Sie das 95. Perzentil der Flow Rate-Nutzung in StealthWatch oder Secure Network Analytics für FlowRate-Lizenzierung berechnen.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in diesen Themen verfügen:

• Smart Software-Lizenzierung
• Sichere Navigation durch Netzwerkanalysen im Haupt-Dashboard

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf der folgenden Software- und Hardwareversion:

• StealthWatch Management Console Version 7.4.1

Darüber hinaus ist Folgendes erforderlich:

• Administratorzugriff auf den Bildschirm "Smart Licensing" in Secure Network Analytics
• CLI-Zugriff als Root auf die StealthWatch Management Console
• VSQL-Datenbankkennwort
• Ihre Secure Network Analytics-Umgebung ist bei Smart Licensing registriert.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Laut dem offiziellen Smart Licensing Guide 7.4.2 auf Seite 22 meldet Secure Network Analytics das 95. Perzentil der täglichen Flussrate (Flows pro Sekunde) an Ihr Smart Account, basierend auf dem vorherigen 24-Stunden-Zeitraum.

Secure Network Analytics (von jetzt an auch als SNA bezeichnet) hieß früher Stealthwatch und diese Begriffe können synonym verwendet werden.

Überprüfung

Nutzen Sie diesen Abschnitt, um zu überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert.

Bestätigen Sie den Wert von 95 % in der StealthWatch Management Console-Datenbank.

Achtung: Dieses Dokument beschreibt den Prozess zur Berechnung der Flow Rate-Nutzung für einen Beispieltag, den 18. April 2023. Passen Sie die SQL-Abfragen an den für Ihren Anwendungsfall vorgesehenen Tag an.

Der Wert, der unter Flow Rate License (Flussratenlizenz) unter "Smart License Usage" (Smart-Lizenznutzung) angezeigt wird, wird aus der Tabelle flow_collection_summary aus der StealthWatch Management Console-Datenbank abgerufen. Um diese Tabelle anzuzeigen, melden Sie sich über SSH als Root bei der StealthWatch Management Console an, und führen Sie den folgenden Befehl aus:

/opt/vertica/bin/vsql -U dbadmin -w lan1cope -c "select last_time, fps_95 from flow_collection_summary order by last_time desc limit 5;"

Hinweis: Die in diesem Dokument aufgeführten Befehle verwenden das Standardkennwort der StealthWatch Management Console-Datenbank. Wenn das Datenbankkennwort in Ihrer Umgebung geändert wurde, passen Sie die Befehle entsprechend an,

Die Ausgabe zeigt die Datensätze der letzten fünf Tage und ihr 95. Perzentil nach aktuellster sortiert an. Ein Beispiel finden Sie im nächsten Bild:

Wie in den Hintergrundinformationen angegeben, wird die tägliche Nutzung der Flow-Rate, die auf dem Bildschirm "Smart Licensing" angezeigt wird, auf der Grundlage des vorherigen Zeitraums von 24 Stunden berechnet. Eine Diskrepanz wird zwischen den Daten in der Tabelle flow_collection_summary dargestellt, da sie einen Wert für einen Tag anzeigt, der noch nicht beendet ist. Dies liegt daran, wie die Nutzung am Ende eines jeden Tages zu einer Reset-Stunde um 00:00:00 Uhr berechnet wird. Im Bildschirm "Smart Licensing" fällt der Wert von fps_95 mit dem Wert zusammen, der für den aktuellen Tag angezeigt wird (2023-04-18). Siehe nächstes Bild:

Der fps_95-Wert vom 18. April in der Tabelle flow_collection_summary entspricht der Flow Rate-Nutzung des vorherigen Tages, dem 17. April. Der fps_95-Wert vom 17. April entspricht der Flussrate vom 16. April usw.

Fehlerbehebung

In diesem Abschnitt finden Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration

Berechnen Sie das 95. Perzentil für einen Tag der Nutzung.

Der in der Tabelle flow_collection_summary dargestellte Wert fps_95 wird auf der Grundlage der Informationen aus der Tabelle flow_collection_trend berechnet, die auch in der StealthWatch Management Console-Datenbank verfügbar ist. In dieser Tabelle wird die Nutzung der Flow-Rate pro Minute für jeden Exporteur erfasst, die von allen Flow Collectors in der Umgebung gemeldet wird. Für einen einzigen Tag gibt es 1440 Datensätze, für jede der 1440 Minuten eines Tages. Das Tupel-Minutenzeichen in der Tabelle muss wie das nächste Bild aussehen:

Die Spalte fps_95 in der flow_collection_summary berechnet ihren Wert aus den 1440 Minuten-fps-Datensätzen eines einzigen Tages. Da nur das 95. Perzentil zurückgemeldet wird, bedeutet dies, dass die ersten 5% der Datensätze (erste 72 Zeilen), geordnet nach der Spalte fps in der größten bis kleinsten Reihenfolge, dabei verworfen werden. Die 73. Zeile stellt somit den 95. Wert der Flussratennutzung dar. Es wird eine erwartete Abweichung des fps-Werts vom 73. Wert von ≈1-2 fps aufgrund von Dezimalberechnungen erwartet.

Der nächste Befehl zeigt den aggregierten fps-Wert der 73. Zeile des flow_collection_trend an, gruppiert nach Minute und geordnet nach fps in der Reihenfolge von größtem zu kleinstem Wert:

/opt/vertica/bin/vsql -U dbadmin -w lan1cope -c "WITH minutes as
(select last_time as Timestamp, sum(fps) as fps, ROW_NUMBER() OVER (order by sum(fps) desc) as RowNumber
from flow_collection_trend
where last_time >= '2023-04-17 00:00' and last_time < '2023-04-18 00:00'
group by last_time)
select fps as '95thPercentile' from minutes where RowNumber=73;"

Die Ausgabe muss wie das nächste Bild aussehen:

Dieser Wert repräsentiert das 95. Perzentil der Nutzung der Flussrate für einen Tag (2023-04-18), das mit dem übereinstimmt, was sowohl in der Tabelle flow_collection_summary als auch im Bildschirm für intelligente Lizenzierung angezeigt wird.

Tipp: Beachten Sie, dass die erweiterte Einstellung von Flow Collector "Ignore List" (Liste ignorieren) verwendet werden kann, um unerwünschte Flow Capture-Vorgänge basierend auf dem IP- oder IP-Bereich herauszufiltern. Durch Hinzufügen von Netzwerkkapazität zur Ignorierliste kann das FPS-Management effektiv reduziert werden, wie von Smart Licensing berichtet.