解析結果のCSVファイルを作成するコマンドは、WEB GUIの解析画面より確認可能です。
「Flowmon Monitoring Center」＞「解析」＞「以前の結果メニュー」 よりCSVファイルをダウンロードすると、最初の行にCSVファイルを出力するためのコマンドが記載されています。

nfdumpを利用したコマンドの例は以下となります。

CSV出力するコマンド例.
/usr/local/bin/nfdump -M /data/nfsen/profiles-data/’prof-XXXXXXXX’/’XXXXXX-XXXXXX’
-R ‘2020/XX/XX/nfcapd.YYYYMMDDHHMM:2020/XX/XX/nfcapd.YYYYMMDDHHMM’
-A ‘srcip,dstip’ -O ‘bytes’ -o ‘extended’ -o ‘csv’ -6 ‘(( out if 1))’;

※ご参考…GUI画面にて解析実行後、「高度な解析」画面右上の「使用したコマンドの表示」アイコンをクリックしても、解析実行時のコマンドが表示されます。

スクリプトを作成して、5分毎にTopNを送信元IPアドレス（又は宛先IPアドレス）で集計し、CSVの形に編集することで取得することができます。
詳しい操作方法は以下のとおりです。

1. スクリプトを作成するために、nfdumpコマンドを取得します。
   Monitoring Center＞解析＞高度な解析＞統計情報＞実行
   トップ：10
   統計基準：（例）送信元IPアドレス
   フィルタ：（例）src net 172.16.0.0/16


2. 解析結果が表示された後、高度な解析枠内右上の黒い■をクリック頂くと「統計情報のコマンド」が表示されます。
   表示されたコマンドはnfdumpコマンドと呼ばれます。
   コマンドの例：
   /usr/local/bin/nfdump -M /data/nfsen/profiles-data/’live’/’172-16-247-13_p3000’ -R ’2022/10/07/nfcapd.202210070700:2022/10/07/nfcapd.202210070700’ -n ’10’ -S ’srcip’/’bytes’ -6 –no-scale-number -o ’csv’ ’src net 172.16.0.0/16′


3. nfdumpコマンドを参照にし、7:00〜19:00まで５分毎の解析結果の取得を繰り返すスクリプトを作成し、取得した結果をIPアドレスと時間のマトリックス表となるように編集してください。
   
   サンプルのスクリプトは以下にて公開しています。
   
   https://orizon.box.com/s/19fcmc8bhifbs9zs6zqzrulbtmjh2v60
   
   ※本スクリプトを使用した不具合などはサポートの対象外ですので、お客様の判断のもとご利用ください。

CSVファイルをExcelで直接開きますと、1行が長すぎるため自動的に改行して開かれると考えられますので、以下の方法を実施しますと、日付、データ共にそれぞれ1行で出力することができます。
1．CSVレポートをコピーします。
2．オリジナルCSVファイルをExcelで開きます。
2.1 データ>区切り位置>区切り文字を「セミコロン」と「カンマ」に設定して、完了します。
3．コピーしたCSVファイルをテキストファイル（弊社ではサクラエディタ）で開いて、データをすべてコピーします。
4．既に区切り文字を設定したオリジナルCSVファイルに移動し、こちらにあるデータをすべて削除します。
4.1 テキストファイルでコピーしたデータをオリジナルファイルに貼り付けますと、1行で日付とデータが表示されます。

しかしながら、CSV出力期間が長すぎますと、データが多すぎるため、上記を実施してもexcelで上手く貼り付けることができない場合がございます。 こちらはExcelの性能限界と思われますので、FlowmonのCSVレポートを出力する時、短い期間を設定してCSVレポートを出力してください。
なお、ご利用しているExcelのバージョンによっては操作方法や仕様が異なる可能性がございますので、Excelの操作方法・仕様について詳しくはMicrosoftにご確認ください。

特定プロファイルでWANIFのInput用のチャネルとLANIFのInput用のチャネルを分けますと、CSVにそれらのデータを分けることができます。

5分粒度のCSVレポートのデータは180日分しか保持していません。
180日を超えた場合、24時間粒度に丸めて保存されます。（180日より前は24時間粒度になる）
※保存期間は現時刻までカウントされます。

Flowmon DA構成の場合も、そうではない場合も、レポートの作成には「フルアクセス権限」が必要となります。

スレーブ側のMonitoring Centerは読み取り専用のため、フィルタを保存・編集したり、プロファイルを編集したりすることはできません。
スレーブ側から解析を行う事は可能ですが、解析はマスターユニットからのみ行うことを推奨しています。

各ユニットの機能と目的は以下のように設計されているためです。
スレーブユニット：フローデータの保存・処理。
マスターユニット：他のユニットからデータを収集し、解析やレポートなどの最終結果を提供する。

フローデータ(AllSource)の保存用として70%、Flowmon OSに10％さらにテンポラリ領域として10%～15%を割り当てることを推奨しております。
そのため、プロファイルなどの設定量などにより異なりますが、実際に利用できるという観点では、モデルの容量の約70%程度と考えてください。

iDRACへログイン後、ダッシュボード画面の[正常性情報]にて、[システム：正常]と表示されていれば問題ありません。

MIBファイルは、Flowmonの以下のディレクトリに格納されています。
CLIにアクセスして取得してください。

/usr/share/snmp/mibs

なお、よく利用されるMIBファイルは以下のとおりです。

・UCD-SNMP-MIB.txt

CPU、メモリ関連

・HOST-RESOURCES-MIB.txt

ディスク関連

初期状態では、「UCD-SNMP-MIB」へのアクセスが許可されていない場合があります。（ご利用のFlowmonOSのバージョンにより異なります）

許可がされていない場合は「Configuration Center」＞「システム」＞「システム設定」 ＞「SNMPの設定」 にて「snmpd.conf」を編集する必要があります。

１． 「Configuration Center」＞「システム」＞「システム設定」＞「SNMP」
２．「SNMPD.CONFの編集」ボタンをクリック
３．「UCD-SNMP-MIB」へのアクセスを許可するため、以下のように追記
例）
# Make at least snmpwalk -v 1 localhost -c public system fast again.
# name incl/excl subtree mask(optional)
view all included .1.3.6.1　 ← ※全ての標準MIBを許可する場合
view all included .1.3.6.1.4.1.2021　 ← ※UCD-SNMP-MIBのみを許可する場合

４．以下の箇所を変更
access notConfigGroup "" any noauth exact systemview none noneをコメントアウト。
access notConfigGroup "" any noauth exact all none noneを追加。

５．snmpdの再起動
FlowmonへSSHアクセスし、以下コマンドを実行します。
sudo /sbin/service/ snmpd restart

SNMPポーリングを無効にしている場合のFlowmon側での制限事項は以下のとおりです。

• SNMPポーリング無効時に受信したフローデータは、該当ソースのAll Portsでしか確認できない。
• NW機器のホスト名とインターフェイス名が取得できない。
• GUI画面から明示的にインターフェイスを指定(チェックして)して解析ができない。

Flowmon側からSNMP-Trapを用いての監視には対応していません。

開発元は以下のOIDの使用を推奨しています。
・.1.3.6.1.4.1.2021.10.1.3.1：1分間の負荷
・.1.3.6.1.4.1.2021.10.1.3.2：5分間の負荷
・.1.3.6.1.4.1.2021.10.1.3.3：15分間の負荷

システムの負荷はコアやプロセッサの数によって異なります。
マルチコアシステムでは、ロードアベレージをコアの数で割ります。
例えばCPUのコア数が32で、負荷の値（ロードアベレージ）が6.64の場合、
6.64÷32=0.2075となり、システム負荷が20.75％ということになります。
よって、CPUコアが32の場合、負荷の値が32を超えるとオーバーロードが発生し、プロセスの実行に遅延が生じる可能性があります。
ご利用機器のCPUコア数はスペックシートを確認してください。

SNMPを利用することで以下の機能が利用できます。
・Flowソースの表示をIPアドレスにプラスしてホスト名も表示されます。
・フローソースに異常が有った場合に気が付かない状況を防ぐために警告を出力させます。
・インタフェース単位にフィルタをしたい場合に物理インタフェース名とフィルタに必要なifindexの紐づけを表示させます。

■回線使用率
・ifInOctets 各インタフェースが受信した総バイト数 OID： .1.3.6.1.2.1.2.2.1.10
・ifOutOctets 各インタフェースが送信した総バイト数 OID： .1.3.6.1.2.1.2.2.1.16
・ifSpeed 各インタフェースがサポートする帯域速度（bps） OID： .1.3.6.1.2.1.2.2.1.5

回線使用率は上記の結果を基に計算する必要がございます。
計算方法はいくつかございますので以下のサイトを参考にしてください。
※以下はCisco機器の例です。
https://www.cisco.com/c/ja_jp/support/docs/ip/simple-network-management-protocol-snmp/8141-calculate-bandwidth-snmp.html

以下のOIDでinodeの使用率を監視できます。

.1.3.6.1.4.1.2021.9.1.10

FlowmonがサポートしているOIDは以下のサイトからご参照が可能です。
https://support.kemptechnologies.com/hc/en-us/articles/4406088157581-Flowmon-SNMP-MIBs

なお、snmpwalkを実行した結果だけではどのパーティションの使用率か判断することが出来ないため、 df -iの結果と照らし合わせてご確認ください。

hrStorageUsedは、ホストシステム上のストレージ使用量に関する情報を提供するHOST-RESOURCES-MIBの一部です。

memTotalReal、memAvailReal、memBuffer、memCachedは、ホストシステム上のメモリ使用量に関する情報を提供するUCD-SNMP-MIBの一部です。

UCD-SNMP-MIBとHOST-RESOURCES-MIBは、どちらもネットワーク管理システムで使用されるMIBモジュールですが、異なる情報セットを提供します。

UCD-SNMP-MIBはSNMP固有の情報とシステム統計に焦点を当てており、
HOST-RESOURCES-MIBはCPU、ディスク、プロセスなどのホストリソースに関する一般的な情報を提供します。
よって、hrStorageUsedのOIDはmemTotalReal、memAvailReal、memBuffer、memCachedにいずれにも該当しません。

アクティブデバイスは、使用の有無にかかわらず、
割り当てられているクォータを現在のサイズより小さく設定する場合、
毎分クリーンアップ処理を行い、空き容量を確保しようとするため、ディスクアクセスに負荷を引き起こします。
アクティブデバイスのクォータは最低でも現在のサイズよりより大きく設定する必要があります。

現時点のホスト名です。
ユーザ設定にて「ドメイン名解決」を設定されている場合、アクティブデバイスの一覧を表示する際にIPアドレスをDNSサーバに問合せた結果を表示しています。

はい。アプライアンスログにはメッセージログやシステムログがすべて含まれています。
アプライアンスログの中身をご確認したい場合は、「暗号化しないでダウンロード」を選択していただきますと、何が含まれているかを確認することができます。

アプライアンスログを取得する際にはフロー生成への影響はありません。
しかしながら、取得中にはシステム負荷が上昇しましたが、こちらは一時的な現象です。
よって、アプライアンスログの取集が完了した後、システム負荷が下がります。

なお、アプライアンスログの取得にかかる時間はデータ量等によって異なるので、数分～数十分かかる場合があります。 その間にシステム負荷が上昇する可能性がありますので、ご了承ください。

アラートは5分間隔で条件に合致したものがあるかを確認しています。よって、5分間の平均値から計算した結果の数値をモニターしています。

下記のように設定すると、 何らかの原因でフローが来ないときにアラートとして発報されます。
　 条件　合計フローサマリに基づく条件　
　 フロー/秒　＜　絶対値　1 –

設定イメージ

「条件にあてはまった時に１回」は条件が連続して満たしている間は最初の１回のみアラートを発報し、条件を満たさなくなった後、再び条件を満たしたときにアラートを発報したいときに使用します。
動作のイメージは以下のとおりです。

• １）アラート条件を満たす場合、アラート発報する
• ２）設定したサイクル数の間、アラートをブロックして動作停止する（サイクル：0の場合は直ぐに停止）
• ３）条件が閾値を下回る（アラートが再開される）
• ４）以後、上記１）～３）を繰り返す

アラート機能をトリガーとしてレポートを生成することはできません。
しかしながら、スクリプトを作成することで直近5分の送信元Top10のCSV形式を作成し、メール本文に記載して通知することは可能です。

以下のサンプルスクリプトでは、5分前の送信元Top10を集計し、メールで通知する例です。 アラート画面の「スクリプトのパラメータ」に送信したいメールアドレスと空白を1つ開けてメールの件名を指定します。

送信元Top10などの集計用のコマンドは解析画面で解析を行うと高度な解析欄の右上に表示される黒い■マークをクリックすると表示されます。
（本FAQのサンプルスクリプトはサポートの対象外です。）


（注意）
上記スクリプトを直接アラート画面の「スクリプトのアップロード」からアップロードすると動作しないことが有ります。
その場合は以下のようなスクリプトを起動するだけのスクリプトをアラート画面からアップロードし、実際に集計する上記スクリプトはFlowmonにSSH接続して以下のスクリプトで記載した場所に配置してください。

アラートの閾値の条件は「個々のトップ1統計情報に基づく条件」と「合計フローサマリに基づく条件」の大きく２つの設定があります。

例：5Mbpsを閾値に設定した場合

１．「個々のトップ1統計情報に基づく条件」
合計のトラフィック量ではなく、端末単位に一番トラフィック量の多いものが閾値を超えた際にアラートが発報されます。
例えば、1端末辺り4Mbpsの通信が多数有り、合計が100Mbpsを超えていたとしてもアラートは発報されません。

２．「合計フローサマリに基づく条件」
全トラフィックの合計が5Mbpを超えた時にアラートを発報させたい場合に選択します。
この場合は1端末辺り1Mbpsの通信が多数有り、合計が5Mbpsを超えた時にアラートが発報されます。

アラートは5分に一回、条件を満たしているかをチェックしています。（このチェック間隔は使用するプロファイルの粒度によって変わります。5分プロファイルの場合は5分毎にチェックされますが、1分と30秒のプロファイルを使用している場合は30秒ごとにチェックされます。）
最初の条件の数字は連続してその条件を満たす回数です。
次のサイクルは条件を満たした後、チェックをスキップする回数です。

以下の設定がされている場合を例に説明します。
「毎回」後「６」×条件＝TRUEである場合、次を対象として次のトリガーをブロックする：「２」サイクル
　6回×5分＝30分、2サイクル×5分＝10分　30分+10分＝40分
　30分間連続して閾値を超えた場合、更に10分間通知が抑制されます。
　よって、連続して事象が発生している状態で、12時00分に最初の通知が発生すると、次の通知は12時40分に通知されます。

Flowmonには、アラートの発生回数を集計する機能は有りません。
しかしながらアラート毎に発報数をカウントするスクリプトを作成することにより、回数を集計する事ができます。

以下のサンプルスクリプトでは週計と月計をアラート発報毎にカウントし、アラート画面の「スクリプトのパラメータ」に指定されたメールアドレスに現時点の集計数を通知する例です。
（本FAQのサンプルスクリプトはサポートの対象外です。） （注意）
上記スクリプトを直接アラート画面の「スクリプトのアップロード」からアップロードすると動作しないことが有ります。
その場合は以下のようなスクリプトを起動するだけのスクリプトをアラート画面からアップロードし、実際に集計する上記スクリプトはFlowmonにSSH接続して以下のスクリプトで記載した場所に配置してください。
集計／月計のリセット例は簡易的に示すために必ず5分毎にアラートが発報される前提としています。実際にはアラートが発報されなかったときに集計結果をリセットする仕組みを考慮する必要が有ります。

Flowmonの標準機能ではアラートの通知時間を限定することはできません。
特定の時間帯のみ通知を受け取りたい場合はスクリプトを作成し、スクリプトの中で特定の時間帯のみメールやSMTP/syslogなどの通知を行うものを独自に作成していただくことで対応することができます。

メールに添付されているファイルをFlowmonで認識することはできません。
ファイルサーバとしてSambaを利用している場合は送受信ファイルの発生を監視することは可能です。

Sambaへの送受信を監視する場合は、readコマンドと write コマンドをフィルタリングします。
しかしながら、以下の制約／注意があります。
・フローの基本は1セッション ≒ 1フローとなります。よって、1ファイルの送受信は1フローとしてアラートの閾値を設定します。
・Sambaでは1つのファイル転送に、通常1つ以上のフローが生成されます。
　Sambaのフォルダを閲覧する際には多くのSambaコマンドが実行されるためフローが分割されます。
　よって、単一のファイル転送数を正確に識別することは難しくなります。

　なおFlowmonの仕様ではSambaの監視はファイルパスまでは可能ですが、ファイル名の監視は不可能です。

アラートを作成する際にはフィルタに以下を設定してください。

ダウンロードのフィルター：
smb2-cmd " RE"  and  smb-filetype " File"  and  src  port 445
※Sambaを利用したファイルの読み込みをダウンロードと解釈します。

アップロードのフィルター：
smb2-cmd " WR"  and  smb-filetype " File"  and  dst port 445
※Sambaを利用したファイルの書き込みをアップロードと解釈します。

いいえ、できません。
Flowmonアラートではプロファイルの粒度によって評価されます。
５分粒度のプロファイルの場合、設定条件 × 3回で設定している場合、5分毎にアラート条件をチェックし、3回連続で条件を満たした場合、15分毎に1回アラートを発報というような発報回数の制御になります。
電子メールの送信へ通知する際には、Values for timeは最後の5分間で表示されます。
15分毎に1回（設定条件 × 3回）に設定とした場合、Values for timeは 2022-05-09 08:00 - 2022-05-09 08:05 になります。

アラートを作成後、作成したアラートの「詳細」をクリックしていただくと表示される「アラートの詳細」画面上部の「条件」に、作成したアラートの条件が表示されます。
例えば「ビット/秒＞10分間毎の平均値 80%」という条件で設定した場合は、「ビット/秒＞（10分間毎の平均値+80%）」という条件が表示されます。
これは、ビット/秒が10分間毎の平均値＋80%を超えた場合にアラートが発報されるという意味です。

アラートの詳細画面の下部にフロー数/パケット/トラフィックのテーブルがあり、それぞれの時間の平均値が表示されています。
今回の例ですと、「トラフィック」（ビット/秒）のテーブルの「10M」（10分間）の値が例えば100Mb/sの場合、
100Mb/s+100Mb/sの80%= 180Mb/sを超えた時にアラートが発報されます。

「1時間の平均bps」が「5Mbps」を超えた場合にアラートを発報させるという設定はできません。
アラート機能はプロファイルの粒度によって評価されるバッチ処理です。
1分と30秒のプロファイルのアラートは30秒ごとに評価され、5分のプロファイルのアラートは5分ごとに評価されます。

ご希望されているような設定はできませんが、アラートの設定でプロファイルに1分、もしくは30秒プロファイルを選択することで 30秒ごとに評価されますので5分プロファイルよりはリアルタイム処理に近い動作になります。 ※1分プロファイルや30秒プロファイルは多くのファイルが作成されるため5分プロファイルより容量を使用します。
※30秒と1分粒度のシャドウプロファイルをアラートに設定する場合、その親プロファイルの粒度も30秒もしくは1分である必要があります。 　詳細はFlowmon GUI画面右上の？マークから参照できるユーザーガイドの5.Flowmon Monitoring Center>5.9 アラート の「シャドウプロファイルに基づくアラート」を確認してください。

可能です。

損失したパケットにつきましては、フロー生成元がフロー化し、コレクタへ送信してきた際に、コレクタが受信できなかったパケット数となります。
また、この情報は過去5分間の情報です。

なお損失したパケットの算出につきましては、各パケットが送付される際に付与されるシーケンス番号によって算出しています。
例えば、シーケンス番号1～5を付与されたパケットの内、シーケンス番号1とシーケンス番号5のパケットをコレクタが受信した場合、
コレクタ受信時に損失したパケットは、シーケンス番号2～4なので、コレクタ受信時に損失したパケット数は3となります。

LEDの色（オレンジ色に点灯）は、Flowmonの最大である1000MbpsではLinkUpしていないことを表しています。
Flowmonコレクタには10/100/1000 Mbpsの管理ポートが搭載されていますので、
10Mbps、もしくは100Mbpsで接続されているということになります。

デフォルトでは1000Mbps/fullで設定されていますが、Configuration Center>システム＞システム設定＞管理インターフェース1にて 速度を10Mbpsや100Mbpsに変更はされていませんでしょうか。
設定されている速度は、Configuration Center>概要>ネットワークインターフェース の「速度」でご確認いただけます。
もし10Mbpsや100Mbpsに変更されている場合は、最大の1000MbpsではないのでLEDがオレンジ色に点灯します。

FlowmonからFlowmonサービスサーバへの接続に使用される送信元IPアドレスはFlowmonの管理インターフェースのIPアドレスです。
※Flowmonの管理インターフェースのIPアドレスはConfiguration center>システム>システム設定>管理インターフェース1にて確認できます。

snmpwalkコマンドよりインタフェース情報を出力することはできますが、この方法では各フローソースに実施する必要がございます。
詳細な方法は以下になります。

1) FlowmonコンソールにSSHで接続します。
Tera termなどのssh端末ソフトで、Flowmon管理コンソールのIPにアクセスします。
ホスト：<FlowmonのIPアドレス>
ユーザ :flowmon
パスワード : inv3a-t3ch（初期パスワード）
※実際の設定値は、パラメータシートにてご確認ください。
コマンドpwdでログイン後のパスが/home/flowmon/であることをご確認ください。

2) 以下のコマンドを実施してください。
snmpwalk -v <使用しているSNMPバージョン> -c <Communityストリング＞ <NW機器のIPアドレス> 1.3.6.1.2.1.2.2.1.2
※設定しているSNMPバージョンやCommunityストリングなどはFlowmon Monitoring Center>ソース>任意のソース>編集にて確認できます。

例：snmpwalk -v 2c -c public 172.16.247.103 1.3.6.1.2.1.2.2.1.2

実施した結果は以下になります。
IF-MIB::ifDescr.1 = STRING: GigabitEthernet0/4
IF-MIB::ifDescr.2 = STRING: GigabitEthernet0/5
IF-MIB::ifDescr.3 = STRING: GigabitEthernet0/0
上記のコマンドの末尾に > ファイル名.txt を付けると、テキストファイルとして結果が保存されます。
例：snmpwalk -v 2c -c public 172.16.247.103 1.3.6.1.2.1.2.2.1.2 > 103interface.txt

コマンドラインからファイルをダウンロードする方法：
WinSCP等のsshコピー(SCP)機能を持ったソフトウェアで 管理コンソールにアクセスして、ファイル名.txtをダウンロードしてください。
パスは/home/flowmonです。

全部で3つございまして、下記の用途となっております。
①管理インターフェース1（管理用及びフロー収集用）
 ※デフォルトゲートウェイは管理1にしか設定出来ないため、基本的には管理1が管理用になります。
②管理インターフェース2（フロー収集用）
 ※通常は使用しませんが、異なるセグメントからフローを収集する際などに使用します。
②iDRAC用インターフェース
 ※Dellサーバに実装されているリモート管理機能用のインターフェースです。

いいえ、プロファイルの親チャネルを変更しても過去のグラフデータは消えません。

例えば、親チャネルAを親チャネルBに変更すると、
設定変更前は親チャネルAのデータ、設定変更後は親チャネルBのデータとなります。
この場合、変更を行った後の数分間は親チャネルAのデータと親チャネルBのデータが混在します。
また、親チャネルAが設定されているチャネルに親チャネルBを追加すると
設定変更前は親チャネルA、設定変更後は親チャネルAと親チャネルBのデータとなります。

上記より、親チャネルのデータを分けて参照したい場合は
チャネルを分けて作成することを推奨します。

各ソースの設定でインターフェース単位の監視を行うためにはソースプロファイルを作成する必要が有ります。
ご利用のFlowmonのバージョンによってはソースプロファイル化する際にグラフの表示がクリアされ、設定変更後に受信したFlowから再度グラフが表示される仕様となっています。
ソース画面のグラフが消えたとしても受信したFlowデータは残っていますので、解析画面のAll Sourcesから該当のソースのチャネルを選択することでグラフをご確認頂くことが可能です。
消えてしまったソース画面のグラフにつきましては、残念ながら再度グラフ表示することはできません。
なお、v12.00.01で仕様変更があり、v12.00.01以降ではソースをプロファイル化した後でもグラフが継続して表示されるようになっております。

指定されたプロファイルの粒度によります。
プロファイルには5分、1分、30秒の粒度で作成することができ、グラフにはそれぞれ、5分、1分、30秒の平均値が表示されます。

但し、指定された期間が長いと画面に収めるために粒度は以下のように平均間隔が大きくなって表示されます。

～8時間：30秒平均（30秒粒度プロファイルの場合のみ）
～16時間：1分平均 （1分粒度プロファイルの場合のみ）
～100時間：5分平均
～15日と8時間：30分平均
～110日と17時間：120分平均
166日と17時間～：24時間平均

ストレージのサイジングを行う際には、以下2つの方法でご提案させていただいております。

1. 回線速度（トラフィック量）を基にFlowmonの最適ストレージサイズを試算する
2. 端末数を基にFlowmonの最適ストレージサイズを試算する

最初に考え方を簡単にするために現在の通信がすべて30分以上連続して行われていると仮定します。

アクティブタイムアウトを30分から5分に変更した場合の計算式は以下となり、アクティブタイムアウト値を30分から5分にした場合、
約6倍のフローを受信することになり、負荷も6倍になります。

1800秒（30分）÷ 300秒（5分）＝ 6

受信するフロー数の予測は Monitoring Center ＞ 解析画面の右側のグラフより「フロー」を選択し、トラフィックのグラフの一番高いところをマウスオーバすることで表示されるレートの値を6倍することによって算出できます。
6倍にした値がご利用モデルのフロー最大処理数/秒を超えていないことをご確認ください。

【ご参考：Flowmonモデル一覧】
https://www.orizon.co.jp/products/flowmon/collector.html

しかしながら、実際にはすべての通信が30分以上連続して行われることは稀であり、現状でも5分以内に終了する通信についてはアクティブタイムアウトを5分にしても負荷の影響はありません。
よって、フロー最大処理数/秒を超えている場合は、以下の方法により、より詳細に現状分析を行ってください。

Monitoring Center ＞ 解析画面下方の高度な解析に移ります。
解析範囲をグラフの一番高い日時に設定します。
「フローのリスト」タブをクリックし、「次に制限」より1000または10000を選択し、「出力」はdefaultで"実行"を押下します。
欄内右上「以前の結果」よりCSVをダウンロードし、Excelにてデータ出力します。

出力されたExcel内の"Duration"にあたる部分が"期間"となり、こちらが選択した5分間に受信したフローの通信時間です。この通信時間を以下の様に分離し、フローの合計を算出します。

①5分以内　フロー数を1倍した数
②5～10分未満　フロー数を2倍した数
③10～15分未満　フロー数を3倍した数
④15～20分未満　フロー数を4倍した数
⑤20～25分未満　フロー数を5倍した数
⑥25分以上　フロー数を6倍した数

※Durationを5で割り、小数点以下を切り上げた数にフロー数を掛けると容易にアクティブタイムアウトを5分にした時のフロー数を算出できます。

上記①～⑥で算出したフロー数を全て合計します。
次に、①～⑥で算出したフローの合計を1000または10000（「次に制限：」で抽出したフロー数）で割ります。
これにより、全体のフローの増加割合を算出することができます。
例えば、①～⑥で算出したフロー数の合計が1500であった場合、1500 ÷ 1000（「次に制限：」で抽出したフロー数）＝1.5

解析画面のグラフ表示されている棒グラフの一番高いものにマウスオーバーした際に表示される"レート"より、1秒間に処理されたフローの値（フロー/s）を取得し、先ほど計算した割合（1.5)を掛けます。
例えばフロー/s値が40,000フロー/sであった場合、アクティブタイムアウトを5分に変更した場合の想定値は以下のとおりとなります。

40,000 × 1.5 = 60,000 フロー/s

コレクタはストレージの大きさ、プローブはポート数、ADSは処理可能Flow数によりモデルが変わります。
詳しくは弊社HPをご参照ください。

Flowmon TOP

コレクタの場合は、1日の平均トラフィック量とそのFlowデータを何カ月保持したいかでサイジングします。
例えば監視対象の平均トラフィックが500Mbpsという環境で、3か月程度データが保持したいという場合、3TBのものでご要望に応えることができます。
プローブはモニタリング対象の回線速度、何ポート必要かで機器選定を行います。

ディスク容量によって異なりますので、予め希望保持期間、現状の平均トラフィック量を基に最適なモデルをサイジングさせて頂きます。

Flowmon側でTLSの有効化や無効化を行うことはできません。
TLS1.2に移行するためにはTLS1.2対応ブラウザよりFlowmonにアクセスしてください。

LDAPのユーザは、必ずFlowmonのロール名（役割）を含むグループに所属している必要があります。
グループ名は以下の命名規則で作成してください。
[接頭辞] ＋（ハイフンまたはアンダーバー）＋ [Flowmonのロール名]

【例】グループ名を "flowmon-user"と設定する場合
"flowmon"を接頭辞としてFlowmonのLDAP設定の「ユーザー定義のグループプレフィックス」に設定
"user"という役割を事前にFlowmonに作成

グループの入れ子状態（グループ内にグループがあり、その中にユーザが所属）では正常に動作しませんのでご注意ください。

Flowmonは製品の脆弱性に関する情報が公開されておりません。
しかしながら、Flowmonはマイナーリリース毎に脆弱性診断を実施し、Flowmonに脆弱性が無いことを確認したうえで開発元から出荷されております。

また、Flowmonはパブリッククラウドサービス向けの仮想環境も提供しており、これらのプロパイダーから要求される厳しい基準を遵守するため、Qualys社が脆弱性診断を行っております。

脆弱性に対応するため、なるべく最新の国内サポートバージョンをご利用ください。

Flowmon（Ver10.02.07現在）の sudoバージョンは1.8.20p2ですが、
Flowmonではsudoで利用できるコマンドを制限しているため、
（CVE-2021-3156）で報告されている脆弱性の影響を受けません。

ご参考までにFlowmonで上記の脆弱性の影響を受けないことを確認する方法をご紹介します。

１.FlowmonコンソールにSSHで接続します。

2.下記コマンドを入力します。

3. [sudo] password for flowmon:

sshの鍵認証設定につきましては以下手順にて実施可能です。
なお以下はWindowsでTera Termを使用して鍵を作る場合の手順です。
鍵の生成方法はお客様がご利用の環境に従って生成してください。

1.RSAの秘密鍵と公開鍵を作成する。
Tera Termを起動し、設定＞SSH鍵生成 をクリックします。
次に生成をクリックすると鍵の生成が始まります。
この状態で鍵はまだ保存されていません。
生成後、パスフレーズ（Key passphrase）とパスフレーズの確認（Confirm passphrase）に同じパスフレーズを入力します。
その後、「公開鍵の保存」及び「秘密鍵の保存」をクリックし、鍵を保存します。

2.公開鍵を保存しておく場所を作成し、公開鍵を保存する。
Tera Termを起動し、該当のFlowmonに以下にて接続します。

アカウント （固定）ログインID : flowmon　パスワード : inv3a-t3ch（デフォルト）

その後、公開鍵を保存しておく場所となる、以下pathの.sshディレクトリに移動します。

/home/flowmon/.ssh

.sshディレクトリが存在しない場合は、「mkdir ssh」コマンドで作成します。
次に.sshディレクトリ配下に、authorized_keysというテキストファイルを作成します。
作成したauthorized_keysに公開鍵のファイル（id_rsa.pub）の中身を設置します。

公開鍵のファイルの設置には複数の方法がありますのでその一例としてechoコマンドを使用する方法をご参考までに記載いたします。

・公開鍵の設定方法の例

echo '公開鍵のファイル（id_rsa.pub）の中身' >> /home/flowmon/.ssh/authorized_keys

また、.ssh/authorized_keysのパーミッションは600または644である必要がありますので、「ls -la」コマンドでパーミッションを確認し、
600または644でない場合は「chmod 600 .ssh/authorized_keys」とします（ここでは手順を簡略化するためにパーミッションを600に変更する手順としています）

3.鍵を使用し、SSHに接続します。
Tera Termを起動し、該当のFlowmonに以下にて接続します。

アカウント （固定）ログインID : flowmon　パスワード : 設定したパスフレーズ

その際、method（認証方法）の枠内の「RSA/DSA/ECDSA/EDD25519鍵を使う」のラジオボタンを選択し、秘密鍵の一番右の「...」ボタンをクリックして秘密鍵のファイル（id_rsa）を選んでください。

OK ボタンをクリックするとFlowmonへ接続されます。

なおパスワードを周知していた人の権限を削除する場合は、
authorized_keysを削除いただければ、キー認証での接続はできなくなります。

CVE-2021-41773はApache 2.4.49のみ影響があります。
Flowmon (Ver.11.01.09現在）ではApache 2.4.6を使用しているので、（CVE-2021-41773）の影響はありません。

CVE-2021-40438はmod_proxyを使用している場合にのみ影響があります。
Flowmonではmod_proxyを使用していないので、（CVE-2021-40438）の影響はありません。

FlowmonはSpring Frameworkを使用していないため、Spring4shell（CVE-2022-22963、CVE-2022-22965）の影響はありません。

Flowmon OS v11.01.12以下の場合は影響を受けます。
Flowmon OS v11.01.13にて対策を実施していますのでバージョンアップを実施してください。
なお、Flowmon OS Ver11.1系用のhotfixは以下に用意がありますので、バージョンアップが難しい方はこちらの適用をご検討ください。
https://orizon.app.box.com/file/943516041780?s=fg3lpl8sv63ybzfs4u0xie2wi6hc9a9a

FlowmonはApache Strustsを使用していないため、（CVE-2021-31805）の影響はありません。

FlowmonはJava 1.8.0 OpenJDKのパッケージを使用していますが、本パッケージは脆弱性の対象ではないため、影響はありません。

Flowmonは（CVE-2022-1292）の影響はありません。

本脆弱性（CVE-2022-1292）はOpenSSL の rpm openssl-perlに含まれている c_rehash スクリプトにあります。
Flowmonは Open SSL ver1.0.2kを利用していますが、rpm openssl-perlに含まれている c_rehash スクリプトのパッケージは、Flowmonにインストールされていないため、本脆弱性の影響は受けません。

Flowmonが使用しているOpenSSLのバージョンは1.0.2kなのでCVE-2022-2274とCVE-2022-2097の脆弱性の影響は受けません。

①Flowmonでは新しいOSがリリースされた際にセキュリティの強化が含まれます。

Flowmonに関連する脆弱性情報は、以下のProgress社のサイトで確認することができます。
※本サイトではFlowmonの情報だけではなく、Progress社が販売している製品の脆弱性情報について記載がされています。
https://www.progress.com/security

本サイトの「Industry Security Updates」表にある脆弱性のリンク内（例：Spring4Shell Vulnerabilityの中）の「PRODUCTS NOT DIRECTLY IMPACTED」節にてFlowmonの記載がある場合、Flowmonはその脆弱性の影響は受けません。

仮に脆弱性が発表され、Flowmonにセキュリティパッチを適用する必要となった場合は、上記のサイトに発表されます。
また、セキュリティパッチを適用する必要となった場合は、開発元がセキュリティパッチを提供します。
※セキュリティパッチはConfiguration Center>バージョン>パッケージのインストールにて適用できます。

②Flowmonはアプライアンス製品となるため、セキュリティソフトのインストールは不可となります。
ベースOSとしてLinux、その他アプリケーションに必要なソフトはインストールされていますが、 影響を受ける可能性がある脆弱性については上記URLよりご確認いただけます。

関連するsudoeditルールはFlowmon OSでは使用されていないので FlowmonはCVE-2023-22809に対する脆弱性ございません。

脆弱性（CVE-2006-20001、CVE-2022-36760、CVE-2022-37436）に関連するApacheモジュールはFlowmonOSでは使用されておりませんので、Flowmonはこれらの脆弱性の影響は受けません。

当脆弱性の対象のバージョンは「OpenSSL 3.0.7より前の3.0系のバージョン」です。
Flowmonが使用しているOpenSSLのバージョンは1.0.2kですので当脆弱性の影響は受けません。

また、以下のサイトの「OpenSSL Vulnerability」にFlowmonは当脆弱性の影響を受けないことが記載されております。
https://www.progress.com/security

FlowmonはLinuxディストリビューションとしてRedHatを使用しております。
RedHat社は以下のサイトにて当脆弱性（CVE-2004-0230）は重大な脅威でなく、当脆弱性に対しての対処を実施する予定はないと発表しております。 その為、Flowmonに関しましても当脆弱性（CVE-2004-0230）に対してご対応いただく必要はございません。

https://access.redhat.com/security/cve/cve-2004-0230

Flowmonが使用しているOpen SSLのバージョンは1.0.2kでございます。
1.0.2系のバージョンが対象となる脆弱性とのことですが、CentOSの開発元であるRed Hat社は上記3つの脆弱性を悪用することは困難であるため、当脆弱性の対処は実施しないと発表しております。
その為、Flowmonに関しましても当脆弱性に対してご対応いただく必要はございません。

以下の開発元のサイトに上記3つについての情報が記載されております。

CVE-2023-0286
https://support.kemptechnologies.com/hc/en-us/articles/13321802306061

CVE-2022-4304
https://support.kemptechnologies.com/hc/en-us/articles/13321900264333

CVE-2023-0215
https://support.kemptechnologies.com/hc/en-us/articles/13321941490189

いいえ、影響は受けません。
以下のURLにこの脆弱性は、Red Hat Enterprise Linux6,7,8に同梱されているCurlパッケージには影響しないと記載されています。

https://access.redhat.com/security/cve/CVE-2023-28322

FlowmonはRed Hat Enterprise Linux7を使用しておりますので、
flowmonは本CVE脆弱性は該当しません。

以下の記事によると、当脆弱性はPython 3.7 ～ 3.9が影響を受けるようです。

Flowmonの最新版が使用しているバージョンはPython 3.6.8ですので、Flowmonは当脆弱性の影響を受けません。

https://nvd.nist.gov/vuln/detail/CVE-2022-48560#range-9587267

https://bugs.python.org/issue39421

FlowmonはRed Hat Enterprise Linux 7を使用しておりますので、この脆弱性の影響は受けません。

以下のRed hatのサイトをご参照ください。

https://access.redhat.com/security/cve/cve-2023-44487

・CVE-2023-31122 Flowmonはmod_macroモジュールを使用しておりません（無効になっている）ので、

この脆弱性の影響は受けません。

・CVE-2023-43622 HTTP/2 プロトコルをサポートしていないので、この脆弱性の影響は受けません。

・CVE-2023-45802 HTTP/2 プロトコルをサポートしていないので、この脆弱性の影響は受けません。

1つのプロファイルに対するチャネル数に制限はありません。
ただし、多数のチャネルやフィルタを設定いたしますとメモリの消費が大きくなり、表示までに時間を要する場合があります。

明確な上限値はありません。
但し、フィルタ構文が増えると解析に時間を要するようになります。

interfacenameのままフィルタを保存する事はできません。
Flowmonでは、interfacenameはフィルタの記載を容易にするために使用されています。
内部的にはif番号で管理しているため、フィルタリングの結果は変わりませんが、フィルタ自体はif番号（SNMP interface number形式）に変換して保存されます。

【interfacenameで記載したフィルタ例】
router ip 192.168.1.xxx and out sourceport "192.168.1.xxx
(xxxx-sw)":"ethernet1/1"

【if番号に変換されて保存されたフィルタ例】
(flowident "192.168.1.xxx_p3000") and (out if 1)

10分毎に更新されたパッケージがあるかを確認し、新しいパッケージがあればダウンロードが始まります。
※ユーザマニュアルには1時間毎に行うと記載されていますが、10分毎の誤りです。

基本的には影響はありません。
ただし、バージョンアップ中にFlowmonが再起動される場合がありますので、
ネットワーク監視装置などでFlowmonを監視される場合には、エラーメッセージが表示される可能性があります。

SSHクライアントとFlowmonで許容している新しいSSHサーバの暗号化アルゴリズム（セキュリティレベル）に乖離があるとSSH接続はできなくなります。

Flowmonはセキュリティ対策のため、脆弱性のあるモジュールはバージョンアップ時に対応されます。
仮にお客様がセキュリティレベルの低下を許容される場合でも、Flowmon側では脆弱性のある暗号化アルゴリズムを使用できるように戻すことは許可できませんので、ご利用されているクライアント環境もFlowmonと合わせてバージョンアップすることをご検討ください。

本メッセージはインストールされたアップデート用のパッケージが有効なFlowmonのパッケージでは無いという意味ですので、パッケージに何かしらの破損が発生していると考えられます。

「パッケージのインストール」から事前に手動でダウンロードされたアップデート用パッケージファイル適用時に本エラーが発生した場合は、アップデート用のパッケージを再ダウンロード後、再度パッケージのインストールをお試しください。

インターネットにFlowmonが接続されており、自動パッケージダウンロード機能が利用可能な場合は、「使用可能なパッケージ」欄に最新のFlowmon OSが自動ダウンロードされますので、アクション欄のチェックアイコン（☑）をクリックしてインストールをお試しください。
ただし、この方法では国内サポートバージョンよりも新しいバージョンがインストールされる場合がありますので、自動ダウンロードされたパッケージの「バージョン」にはご注意ください。
なお、国内サポートバージョンよりも新しいバージョンは日本語のサポート資料の整備がされていない場合が有りますので、通常よりはサポートにお時間をいただくことがありますが、サポート自体は可能です。

いいえ。
Flowmon OSは一度バージョンアップが正常に完了した場合、バージョンダウンすることはできないため、切り戻しはできません。
なお、バージョンアップ中に不具合を検知した場合は、ロールバック処理が発生し、バージョンアップ前のバージョンに自動的に戻ることが有ります。

バージョンアップ完了後にバージョンダウンを行う必要が発生した場合は、古いOS用のリカバリメディアを使用し、一旦工場出荷状態に戻したうえで、バージョンアップ前のバージョンまでアップデートすることになります。

受信したフロー情報を戻す必要がある場合は事前にシステムバックアップを取得しておく必要が有ります。
※システムバックアップ機能はver11.00.05以降で利用可能です。
※システムバックアップには各種制限が有りますので、詳細は弊社サポートまでお問い合わせください。

FlowmonOSのバージョンはWeb画面の「Configuration Center」＞「バージョン」より確認できます。

FlowmonOSは、LinuxカーネルベースのOSです。CLIで[uname -a]を実行していただくことで、カーネルバージョンを確認できます。

CLIで[psql ––version]を実行していただくことで確認できます。

併せなくてもFlow受信はできますが、バージョンアップにより新規追加された項目などが解析できない為、併せることを推奨します。

（１）バージョンアップ実行中は自動でFlowmonのサービス再起動が行われる場合があります。
その間のフローデータの収集はできません。
※「サービスの再起動」とは、Flowmonシステムの再起動を指しており、物理的な再起動を意味するものでは有りません。
※お客様にて手動で再起動を行う必要は有りません。
※物理的な再起動ではないため、モニタリングポートなどのLinkdownは発生しません。
サービスの再起動が発生するため「モニタリングセンター」＞「解析」にて、グラフの縦棒が数本分欠落する場合があります。

（２）所要時間はデータ量にもよりますが、およそ数分間から数時間を要します。

rootユーザのパスワードは非公開となっており、弊社にも情報開示がされておりません。

可能ですが推奨しておりません。Flowmonのバックアップ機能は、特定期間のデータを上書きされないように外部へ保存するために使用します。

Flowmonでは、アーカイブ機能が用意されています。プロファイル単位で外部ストレージへの保存に対応しています。本機能は設定を行った日以降に受信したフローデータのアーカイブのみ可能です。過去に受信したデータはアーカイブできませんのでご注意ください。
外部ストレージにアーカイブしているデータをFlowmonに戻すことで解析することは可能ですが、戻したデータ（プロファイル）に再度フローを継続して追加受信することは不可能となります。

設定作業日以前のデータのバックアップを取得することはできません。
プロファイルバックアップ設定は設定を実施したその日以降に受信したフローデータを外部ストレージに保存する機能です。

外部データストレージへのバックアップはシステムに負荷が掛からないように1日分のデータを1件とし、1件ずつ処理を行っていきます。すべての件数を処理するまで24時間バックアップを実行し続けます。

バックアップ時と異なる外部ストレージにバックアップデータを移動させることは可能です。 但し、外部ストレージAのディレクトリ構成を外部ストレージBに同じように作成しないとリストアすることができなくなりますのでご注意ください。また、各プロファイルのルートディレクトリに設定ファイル（.flowmon_backup）が保存されていますので、一緒にコピーしてください。

Flowmonの外部ストレージのディレクトリ構造は以下のようになっています。この構成を維持する必要があります。
プロファイル名/チャネル名/年/月/日

例）
　外部ストレージA　：/backup/live-564DEE6F/172-16-1-10_p3000/2020/01/01/
　　※太字部分のディレクトリをそのまま外部ストレージBにも作成します。

　外部ストレージB　：/backup/live-564DEE6F/172-16-1-10_p3000/2020/01/01/

Flowmonに接続できる外部ストレージは1台までですので、外部ストレージBに移動したバックアップデータをFlowmonにリストアするときは、外部ストレージBをFlowonの外部ストレージとして再設定してからリストアを実行してください。

仕様上、Offline環境でプリセットを手動で使用・更新することはできません。
プリセットの更新を行う場合はインターネット接続が必要です。

■Flowmon側の更新頻度について
Flowmonは、12時間おきにサービスポータルをチェックし、新規または更新されたプリセットがあれば自動的に更新を行います。また、ページ下部の[更新]をクリックすると、このバージョンで利用可能なすべてのプリセットが更新されます。

■サービスポータル側の更新頻度について
開発元がサービスポータルにて公開しているプリセットの定義内容の変更を確認する間隔は不定期です。
なお、お客様より定義内容の変更をご連絡いただいた際にもプリセットの更新を実施しております。

対応しているフローは以下のフローとなります。

• sFlow
• NetFlowV5
• NetFlowV7
• NetFlowV9
• IPFIX
• NSOL
• jFlow
• NetStream
• cFlowd

ホスト名を含んだFlowを生成するためにはFlowmonプローブが必要です。
但し、仮想版のFlowmonコレクタに限り、モニタリングポートが2ポート備わっており、Flowmonプローブと同様に[Configuration Center] ＞ [モニタリングポート] の設定を行うことでFlowを生成することが可能です。

Flowmon宛て以外の通信をFlowmonが受信できるように仮想化基盤（Vmware/Hyper-V）を設定している必要が有ります。
仮想化基盤上の仮想スイッチがプロミスキャス・モード（promiscuous mode）に設定されているかを確認してください。

sFlowとNetFlowの処理の仕方は異なります。
sFlowの場合は受信したフロー内のバイトカウントがサンプリング値倍されます。
例えばバイトカウント100のsFlowを受信し、サンプリング値1000とすると、実バイト数は100×1000＝100000 としてトラフィック量が計算されます。
一方のNetflowでは実データのバイトカウントが入っていますので、その値をそのまま使用してトラフィック量が計算されます。

フローとは、ネットワーク上を流れる共通の属性をもったパケットグループに類するものであり、送信元/送信先IPアドレス、送信元/送信先ポート番号、プロトコル番号などの属性に従って同属性の組み合わせであれば同一のフローとみなして集約します。

例えば、ユーザーがサーバにファイルをアップロードした場合の処理は1フローと見なされます。

なお、厳密には以下のような例外がありますので、必ずしも同一属性の通信が１つに集約されるとは限りません。

• アクティブタイムアウトに指定した時間以上継続して通信されている場合は途中でフローを分割します。
• パケットを貯めてフローとして集約するバッファの容量が超える場合は一旦、それまでの情報でフローを生成するため、フローは分割されることがあります。

NetFlow v5に設定されている情報が、NetFlow v9で利用されるテンプレートに組み替えられ、NetFlow v9として転送されます。
元々無い情報が追加されるといった事はありません。

いいえ、Flowmon側で設定を変更する必要はありません。
sFlowはパケットをサンプリングして、Flowが生成されますが、
Flowmonでは通常、受信したフローからサンプリングを検出し、それらを自動的に認識します。

上記の表ではご利用のFlowmonコレクタ（IPアドレスxxx.xxx.xxx.xxx）が「eth0」インターフェースより Flowを受信していることが分かりますためお客様のご認識の通り、tcpdumpコマンドで指定するネットワークインターフェースは「eth0」となります。

FlowはFlowソースのFlow送信先に書かれたIPアドレスを持つインターフェースに届きます。 そのIPアドレスを持ったインターフェースでキャプチャをする必要があるため、tcpdumpコマンドにそのインターフェース（今回の場合は「eth0」）を指定する必要があります。

NW機器からFlowmonへの通信がブロックされている場合、ソースタブにフローデータが流れてこないとなることが考えられます。
そのため、例えば、以下のような経路となっている場合、
ファイアウォールがNW機器からFlowmonへの通信がブロックされていないかご確認ください。
NW機器 ⇒ ファイアウォール ⇒ Flowmon

ファイアウォールでブロックされるケースは以下のケースが考えられます。
1.フローソースのIPアドレス単位でブロックされた
2.フローソースのポート番号単位でブロックされた（SNMPのみ、ソース転送用の3000/UDPのみなど）

FlowmonプローブはIPIPトラフィックを標準のL3トラフィックとしてサポートしているためパケットをフロー処理することが可能です。

カプセル化を解除せずにトラフィックからフローがエクスポートされますが、 Configuration Center>モニタリングポート>高度な解析>トンネルプロトコルのカプセル化解除 にて、「4in6」を選択することでトラフィックのカプセル化を解除することも可能です。

FlowmonではONUとNW機器の間にアグリゲーションタップを挟んでデータを取得する場合の制限はなく、タップがプローブにIPトラフィックを送ることが出来ていれば、フローを監視することが可能です。

弊社検証環境において検証を行っております。
c3850のサンプルコンフィグであればご提供可能ですが、それ以外の情報につきましてはNW機器ベンダーにお問い合わせください。

一部ハイエンドのCisco製品にてL7情報の取得は可能です。
ただし、Cisco製品でFlow生成が可能でも、Flowmon側でそのフィールドに対応していないと解析はできないため、確認が必要です。

Flow情報には経路情報は含まれないため、詳細に解析を行うことは難しいです。

NetFlowVer9/IPFIXをご利用ください。
sFlowはサンプリングが必須の規格となりますので、情報精度がノンサンプリングのFlowに比べ劣る傾向があります。
ネットワーク機器にてFlow生成を行う場合、NetFlowVer9/IPFIXは結果的に可視化できる項目にそれほど差はございませんが、Probeをご利用の場合は、Flowmon独自拡張領域の可視化が可能になるため、可視化可能項目がより増加します。

Flow生成の手順を記載しているドキュメントに、検証環境にあるスイッチ（C3850）のコマンドであれば記載をしておりますが、条件については、ネットワーク機器の仕様によって異なります。
ルータやスイッチでも設定可能な項目が異なりますので、弊社では詳細な情報まで把握をできておりません。
詳細情報につきましてはネットワーク機器ベンダーへお問い合わせください。

対応しております。
AVCによってSRTやRTT、遅延値などのネットワーク遅延情報を可視化することが可能になります。

コレクタはどのインターフェースでFlow生成をいただいてもFlowデータの受信は可能ですが、ネットワーク機器によってはFlowモニターの設定を適用できない可能性がございます。
詳細情報につきましてはネットワーク機器ベンダーへお問い合わせください。

Flow収集ポイントを通過したトラフィックをFlow生成しますので、コアスイッチと末端スイッチで同じトラフィックが通る場合は、トラフィックが重複し収集されます。
そのため、コアスイッチのみでFlowを収集することが一般的です。
ただしこの場合、末端スイッチで折り返すような通信が発生した場合にはトラフィックが取得できなくなりますのでご留意ください。

統計基準からNBAR2を選択することでアプリケーションタグ、アプリケーションID、アプリケーションエンジンIDを解析可能です。
Flowmon内でアプリケーションID等のリストを保持しているため、解析結果にはアプリケーション名等をリネームして表示します。

Flowmonでは、監視対象ではなく、フローソースと呼びます。
Flowmonは、Netflowを待ち受けている状態となります。
フローソースが見えない場合には、Netflowが受信出来ていない可能性がありますので、フローソースの設定を確認してください。
もともと見えていたフローソースが見えなくなった場合には、フローソースからNetflowが送信されているかを確認してください。
フローソースがNetflowを送信しているにも関わらず、Flowmonで受信できていない場合には、見えていないソースを指定した画面キャプチャ、パケットキャプチャ(PCAP)、フロー一覧をサポートまで送付ください。

「Cofiguration Center」＞「FMC設定」＞「リスニングポート」に設定されているポート番号とフローソース側のFlowmonへのフロー送信先ポート番号の設定が同じであれば、変更の必要はありません。

異なるポート番号で受けているようでしたら、同設定画面の「＋ 新しいリスニングポート」でリスニングポートを追加してください。

ソース一覧にはフローソースがFlowmonへの送信に使用したIPアドレスが表示されています。
フローソース側でフローの送信に使用するIPアドレスとしてsflow-agent-addresに設定したアドレスが使用されるか、その他のアドレスが使用されるかはフローソース側の実装により異なりますので、詳細はフローソース機器メーカにご確認ください。

フローソースのインタフェース情報は最初にifAliasを取得します。
設定されていない場合はifDescrを取得し、それも設定されていなければポート名は「port <ifIndex>」として表示されます。
ifNameは現在使われていないため、ifNameのみにインタフェース情報が記載されている機器は、正しいインタフェース情報を表示することができません。なお、ifNameは今後対応を検討中です。

フローソースをリプレースした場合でも、IPアドレスが同一であれば、同一ソースとして認識されます。
作成済みのプロファイルは、プロファイル作成時に、インターフェース単位でフィルタをかけている場合、グラフが継続されない可能性があります。
これはフローソース側のifindex情報が変わってしまう可能性がある為です。
その場合は、プロファイルのフィルタに対して、ifindex情報の変更を反映する必要があります。
なお、FlowmonにSNMPを用いてインターフェース情報を取得する設定をしていてもプロファイルには自動反映されませんのでご注意ください。

利用されているFortigate機器がsFlow／Netflowの生成に対応している場合、且つ、Fortigate機器が生成したフローがFlowmonでサポートしているフローのフィールドの場合、フローの収集が可能です。

Flowmonが対応しているフローのフィールドは英語のドキュメントとなりますが、以下を参照してください。
https://support.kemptechnologies.com/hc/en-us/articles/4405949707789-Flow-standards-specifications

※Fortigate機器の対応状況はバージョンや機種により異なりますので、詳細な情報はFortigate社にご確認ください。

コマンドで一括して再取得できます。
CLIより以下を実施してください。

/usr/bin/php /var/www/shtml/index.php Cli:UpdateSources

Monitoring Center>ソース>該当のソースの「編集」をクリック>「更新」をクリック することでSNMP情報を更新することが可能です。

インターフェース毎のトラフィックデータ（フロー）が確認できない主な原因は、 NW機器にて生成されたフローがNetFlow v9の場合、「INPUT_SNMP」と「OUTPUT_SNMP」のフィールドが含まれていないことが考えられます。
（NetFlow v9以外の場合は「input」と「output」です）

以下の手順で、NW機器で生成されたフローに「INPUT_SNMP」と「OUTPUT_SNMP」のフィールドが含まれているかご確認してください。

Monitoring Center>解析>高度な解析>統計情報にて、
統計情報：IP通信
集約：SNMP入力インタフェース数、SNMP出力インタフェース数

解析結果のSNMP入力インタフェース数、SNMP出力インタフェース数に「０」を表示された場合は、 フローに「INPUT_SNMP」と「OUTPUT_SNMP」のフィールドが含まれていませんので、 NW機器にて2つのフィールドを含めるように設定を変更してください。
NW機器の設定方法はNW機器のベンダーに確認してください。

Configuration Center >モニタリングポート>グローバル設定>高度な解析　の「有効化されたL2フィールドをNetFlow IDに追加する」が有効になっている場合は無効にしてください。

本設定は通信中のネットフローで MAC アドレスの変更を検出する必要がある特別な場合（例えば、ロードバランサーや同様のアプライアンスがネットワークに導入されている場合など）に有効にしますが、この設定はフローを変更（SRC IP、DST IP、SRCポート、DSTポート、L4プロトコルをMACアドレスごとに拡張）するため、一部の NPM メトリクスが含まれなくなる場合があるためです。

旧スイッチのIPアドレスと新スイッチのIPアドレスが同じで、フローデータをFlowmonに送信するためのポートも同じ場合は、同一ソースとして認識されますので、Flowmon側で事前設定する必要はありません。

しかし、使用するポート番号が異なる場合は、Configuration Center>FMC設定>リスニングポート>「新しいリスニングポート」にて新しいスイッチが使用するポート番号を追加してください。
※リスニングポートはフローを受信するためのポートです。
※Flowmonは、デフォルトで4つのリスニングポート（3000,2055,9996,6343）が登録されております。

NW機器の更改後についての注意点：
・NW機器の更改後の新しいフローソースが作成するFlowの内容がNW機器の更改前と同じか、フローソースの仕様及び設定を確認してください。 特にトラフィックはFlowの「バイト」フィールドを使用しますが、Netflow9の仕様では以下の二つのIDがバイトの転送用に定義されています。
ID 1 （octetDeltaCount）・・・Flowmon対応
ID 352 (layer2OctetDeltaCount)・・・Flowmon非対応
ID 352のlayer2OctetDeltaCountについてはFlowmonは対応していませんので、 ID 1 octetDeltaCountを使用してFlowを生成するようにフローソース側が設定されているかご確認ください。

・プロファイルにインターフェース単位でフィルタをかけている場合、データが取得できなくなる可能性があります。これはフローソース側のifindex情報が変わってしまう可能性がある為です。
その場合は、プロファイルのフィルタに対して、ifindex情報の変更を反映する必要があります。 なお、FlowmonにSNMPを用いてインターフェース情報を取得する設定をしていてもプロファイルには自動反映されませんのでご注意ください。

ユーザが任意に作成するプロファイルに制限はありませんが、ソースプロファイルには制限があります。
現在使用しているソースプロファイル数と設定されている上限数は、Monitoring Center>ソース画面上部に記載されている［合計ソース］で確認ができます。

ソースプロファイルは最大2000件まで登録ができますが、
デフォルトでは上限が100件に設定されています。

必要に応じてMonitoring Center>ソース画面右上の［ソースデフォルトの編集］>プロファイルされたソースの最大数で上限値の設定の変更を実施してください。
※プロファイルされたインターフェースの最大数が、プロファイルされたソースの最大数より大きい必要があります。

プロファイルを新規作成した場合、プロファイルを作成したユーザと異なる権限のユーザには追加したプロファイルに対しての権限が付与されません。

「Configuration Center」 ＞「システム」 ＞「ユーザ設定」＞「役割」にて、プロファイルを共有したいユーザに対して、プロファイルに対しての権限を追加することにより、確認可能になります。

また役割を「フルアクセス」にすることで、上記対応をせずとも異なる権限のユーザが作成したプロファイルを確認する事が可能ですが、「フルアクセス」は名前の通り、全ての権限を持つことになりますので付与には注意が必要です。

明確な上限値はありません。

Flowmonにはプロファイルの表示順番を変える機能は有りません。
表示順番を希望とおりに並べるためには、プロファイル作成時に内部名を意識して作成いただく必要があります。
既に作成済のプロファイルの表示順番を並び変えたい場合はプロファイルを作成し直していただくことになります。

Flowmonの仕様として、プロファイル名は内部名と表示上の名前（GUIで設定したプロファイル名）の2つで管理されています。
表示上の名前は内部名のABC順で表示されており、内部名は後から変更することができません。
内部名は表示上の名前を英数字6文字で設定しますと、設定した値 + 乱数にて一意になるように生成されます。
この仕様を利用し、最初にプロファイルを作成する際に、アルファベットと数字でプロファイルを作成し、 作成後に名前を変更することで任意の順に表示させることが可能となります。

作成例は以下のとおりです。

（例）
内部名　　表示上の名前
A00100　　　北海道
A00200　　　東京
A00300　　　大阪

プロファイル作成時に、上記の"内部名"のようにアルファベット＋数字でプロファイル名を作成します。
作成後に"表示上の名前"のように漢字や平仮名へ変更します。
また、後から東京と大阪の間に名古屋を追加されたい場合は、内部名A00150で作成し、名古屋に名前を変えれば順番を後からでも制御することができます。

プロファイルのグループ名を変更するためには別のグループに移動させることで対応します。

新しいグループ名に変更する場合は最初にグループを以下の方法で作成します。
Monitoring center　＞　プロファイル　＞　プロファイルの編集　＞　変更したいプロファイルの「編集」をクリック。
「グループ」から「--新しいグループを作成--」　を選択し、新しいグループの名前を記入して、保存します。

グループに複数のプロファイルが登録されている場合は2個目以降は「グループ」から作成済のグループ名を選択しします。
プロファイルをすべて変更したいグループに移動すると、元のグループは削除されます。

グループの移動は保存されているデータ量によっては時間がかかる可能性がありますので、ご注意ください。

プロファイルの編集を行った場合、上書き保存できる項目と上書き保存できない項目があります。

以下の項目を編集すると上書き保存ができず、新規保存が必要なものは以下のとおりです。
・親プロファイルの変更
・開始日の変更
・粒度の変更

はい。
保存できるデータは以下のような仕様／設定により、上限が決まります。
・5分単位のプロファイル
　5分単位のフローデータおよびグラフ ： 6カ月間
　1日単位のフローデータおよびグラフ ： 5年間

・1分単位のプロファイル
　1分単位のフローデータおよびグラフ ： 1カ月間
　1日単位のフローデータおよびグラフ ： 1年間

・30秒単位のプロファイル
　1分単位のフローデータおよびグラフ ： 1カ月間
　1日単位のフローデータおよびグラフ ： 1年間

溜まっているデータが削除されるタイミングは「保存」ボタンを押した時です。
「保存」ボタンを押すと同時に古いデータの削除が始まります。
削除するデータ量によっては完全に削除が終わるまで、多少時間が掛かる場合があります。

シャドウプロファイルは実際にはディスクに領域を持たず、
親プロファイルとして設定されている実プロファイルを参照しているだけですので
クォータという概念がなくクォータの変更はできません。

はい、可能です。
親プロファイルのデータが残っている限り、子プロファイルのデータが消えている期間でも親プロファイルからデータを取得できるため閲覧、解析が可能です。

しかし、以下の注意点があります。

• 親プロファイルからデータを取得する場合、子プロファイル自体がデータを保有している時よりデータの表示や解析に時間がかかります。
  なぜならば、都度親プロファイルからデータを抽出するため、シャドウプロファイルと同様の動きになり 実プロファイルで作成していてもシャドウプロファイルと同等の表示や解析の速度になるためです。
• 親プロファイルからデータを抽出するため　ユーザーに親プロファイルへのアクセス権限が割り当てられている必要があります。
  ユーザーにプロファイルへのアクセスを制限をしている場合は、Configuration Center＞システム＞ユーザ設定＞役割 にて該当の役割の、FMCタブの「割り当てられているプロファイル」に親プロファイルを追加してください。

回答
ユーザAで設定した非表示のチャンネルは他のユーザBには影響せず、全てのチャネルが表示されます。

詳しくは以下になります。
※前提としてuserAとuserBは同じ役割（権限）を持っているものとします。
userAにおいて、「DNS Query Type」というプロファイルの一部のチャネルを表示しないを設定にします。
※「DNS Query Type」プロファイルは６つのチャネルがあり、４つのチャネルを表示するよう設定を変更します。
userBから「DNS Query Type」プロファイルを見ると全てのチャネルが表示されます。
よって、userAで設定した非表示のチャンネルはUserBの設定には引き継がれないことが確認できます。

プリセット機能を使用することで、Office365のクラウドアプリケーションのサービス毎にトラフィックを確認するプロファイルやレポートを自動作成することができます。
なお、クラウドアプリケーションのサービス毎にトラフィックを確認できるのはプリセットに事前に登録されているものに限ります。
プリセットに登録されていないクラウドアプリケーションについてはフィルタに必要な情報を通信要件などから調べ、手動でプロファイル等を作成することでトラフィックを確認することができます。

プリセットの設定方法や注意点は以下を参照してください。

【Office365のプリセットを使用するための前提条件】

• 本プリセットはHTTPホスト名の情報を使用するためホスト名でのフィルタを有効にしたい場合は、フローデータを生成する時にHTTPホスト名を含めている必要があります。
• 本プリセットのレポートのチャプタの作成をする場合、フローデータを生成する際にAS番号を含めている必要があります。
• HTTPホスト名のフローを生成できるネットワーク機器メーカは CISCO, Gigamon, IXIA, OneAccess, Flowmon（Probe）の対応製品のみです。
  ※前提条件はプリセットによって異なりますので、各プリセットをクリックし、「技術的な詳細」より、英語となりますが必要条件や詳細を確認してください。

【プリセットの設定手順】

1. Dashboard and Reports>設定>プリセット>Office 365 の「選択」をクリック
2. 「インストールに進む」をクリックする
3. 「ユーザに進む」をクリックする
4. プリセットが適用されるユーザを選択する
5. 「設定に進む」をクリックする
6. 「プロファイルオプションを設定」画面にて各種設定
7. 「コンテンツに進む」をクリックする
8. 「インポートする対象のプリセットのコンテンツを選択」画面にて作成したいプリセットの項目を選択してください。
9. 「インストール」をクリックする
   　プリセットの作成が開始されます。
10. 作成が完了したら「完了」をクリックする
    上記の設定の手順8でプロファイルやレポートを選択することで、Office365のプロファイルやレポートが作成されます。
    例えば、プロファイルですとMonitoring Center>プロファイル にてOffice365のプロファイルが作成され、データの参照が可能となります。

【プリセットの注意点】
プリセット画面の下部にある更新ボタンをクリックすることによってプリセット自体は更新されることがあります。
※各プリセットをクリックした「追加情報」の「作成日」よりご確認いただけます。
但し、あくまでもプリセットのテンプレートが更新されているだけで作成済のプロファイルなどには反映されませんのでそれらは手動で更新する必要がございます。
プリセットで作成したプロファイルなどの更新を手動で行うには上記の【プリセットの設定手順】に従い、再度適用することで更新できます。
また、プリセットについての詳細はFlowmon GUIの右上にある「？」よりユーザガイドの「4.11 プリセット」を参照してください。
なお、Ver11ではCoufiguration Centerのプリセットでも上記と同様に設定が可能ですが、v12ではCoufiguration Centerのプリセットがなくなり、Dashboard and Reportsに移行されますので、Dashboard and Reportsにてプリセットを設定することを推奨します。

IPv6 RA のフローはマルチキャストアドレス（ff02::1、ff02::2）でフィルタリングすることで、抽出することができます。
詳細な方法は以下のとおりです。
Monitoring Center>解析>高度な解析にて以下を設定して解析を実行してください。
期間：解析したい期間を指定します。
統計基準：IP通信
集約：送信元IPアドレス、宛先IPアドレス、送信元ポート、宛先ポートIPプロトコル
フィルタ：ip in [ff02::1 ff02::2]

• ※  ff02::1 とはルータアドバタイズメントであり、RSを受信したときに応答するメッセージです。
• ※  ff02::2 とはルータ要請であり、IPv6対応ホストが、IPv6対応ルータに送信するメッセージです。

Flowmonはネットマスクが正しいという前提で、ネットワークアドレスが自動的に修正されます。
172.16.247.128/18は 172.16.0.0/18 として解釈されます。
172.16.247/18のような第4オクテット無しの場合は、 172.16.0.0/18 が正しいネットワークアドレスとして自動修正して解釈されます。
また、ネットワークアドレスが自動的に修正されても、Flowmonの負荷はかかりません。

可能です。親プロファイルをAll Sourcesにしてすべてのソースを対象にしている場合は、
新ソースが追加されても特に対応は不要です。
しかし、特定のソースで限定してプロファイルを作成している場合は、新ソースを追加してプロファイルを作成し直す必要があります。
以下の手順で2つのソースIPのデータを1つのプロファイルに統合できます。

1.Monitoring Center>プロファイル>プロファイルの編集 にて「新しいプロファイル」をクリック
　・親プロファイル：All SourcesなどのIPアドレスの変更前後のソースが入っているプロファイルを指定してください
　・開始日：統合を開始したい日時を設定してください
　・「継続プロファイル」にチェックを入れてください

2.「新しいチャネル」をクリックしてください
　・フィルタ：既存のプロファイルと同様のフィルタを入力してください
　・親チャネル：変更前後のIPアドレスのチャネルを選択してください

3.保存してください

nfcapdファイルは単なるバイナリファイルであるため、ファイルを保護する暗号化の機能はありません。
しかしFlowmonでは、nfcapdファイルの構造は、Flowmon以外の標準のnfcapdファイルと比較すると大幅に変更されているため、公開されている nfdumpツールで読み取り/アクセスすることはできません。

プロファイルが作成された場合、5分プロファイルは1チャネルにつき31MBのグラフデータを使用し、 30秒/1分プロファイルは1チャネルにつき17MBのグラフデータを使用します。
しかし上記は切り上げられた値であり、切り上げ前の値は5分プロファイルは30.52 MB、30秒/1分プロファイルは16.33 MBです。
Monitoring Center>プロファイル>プロファイルの編集 画面では切り上げられた後の値が表示されます。

ディスク上の実サイズは切り上げ前の値であり、
Configuration Center>リソースマネージャ>クォータ管理 画面の「FMCプロファイルのグラフデータ」にも切り上げ前の実サイズが表示されます。

例えば、10チャネルの場合はプロファイルの編集画面では310MBと表示されますが、
リソースマネージャの画面では305.2MBと表示されます。

All Portsの選択を外したことで発生する事象と考えられます。 任意のインターフェース選択する場合はAll Portsの選択を外さずに保存してください。

All Portsを解析時に表示させる必要がない場合は、 Monitoring Center>解析の上部に表示されるグラフ右下の「表示されているチャネルの変更」にて All Portsの選択を外してください。

プロファイル名はユーザが設定を行った名前でソートされますので、

プロファイル名を変更/修正した場合、順番が変わる可能性があります。

また、漢字や平仮名を使った名称を付けた場合、意図しない順番で表示される可能性があります。※Flowmonに登録されている漢字の読み方が、日本語の正しい読み方と一致してるかは不明なため

漢字や平仮名を使用する場合は、プロファイル名の先頭に英数字(数字>大文字>小文字の順)を記載することで、任意の順番で表示をすることが可能です。

正しくグラフを表示させるため、プロファイルの粒度とアクティブタイマーの時間は合わせていただく必要があります。

グラフの表示間隔より長い時間を設定するとそれまでの全トラフィックが一括して送信され、 受信した一つの表示間隔に集中して表示され過大なトラフィック表示となります。 逆に、このタイマーが小さい場合、頻繁にトラフィックをコレクタに送ることとなり、機器のパフォーマンスに影響します。 ※グラフ表示に影響はありませんが、Flow数が増加する分、保存期間が短くなり、機器の負荷が上がる可能性があります。

よって、30秒粒度のプロファイルで運用する場合はアクティブタイマーも30秒にしていただくことを推奨します。

プロファイルのIDの確認方法は2つあります。

1.REST API、FMC analysis profilesにてGETをしていただき、”id”よりプロファイルのIDをご確認ください。　　　　　　　　　　　　　　　　　　

2.GUIにて同じプロファイルをマウスオーバーしていただきますと、ポップアップにて内部名が表示されます。 　内部名はプロファイルのIDと同様ですので、こちらをご確認ください。

本システムメッセージは、FlowmonのベースOSであるLinuxが起動後180日を過ぎると自動的に表示するファイルチェックを要請するメッセージです。
※起動後というのは、開発元にてお客様の機器を初めて起動した日を起算日としています。
(電源OFF/通電停止後に時間カウントがリセットされるわけではございません。)

チェックディスクを行うか、メッセージを削除するまでは表示されて参りますので、Flowmonの状況に問題がなければ、お手数ですが都度「システムメッセージ」の一覧にて削除してください。

ディスクチェックを行う場合は、「Configuration Center」 ＞「システム」 ＞「メンテナンス」タブの「システム電源の管理」にて「再起動とチェックディスク」をクリックしていただければ実行することが可能です。

再起動及びチェックディスク中はFlowの生成及び収集は行われず、その期間のグラフも途切れて表示されますので、定期的に行うのではなく、ディスク上にご心配な点があった場合に行っていただく運用で問題ありません。

再起動の所要時間はディスクサイズやデータ量に応じて異なりますが、おおよそ10分～数時間程度となります。

なお、ほとんどの場合「ディスクの再起動とチェック」を実施する必要はないため、ver.12.01.00以降は本メッセージは表示されないように改善されております。

本メッセージは、Flowmonがインターネットに接続していないなど
Flowmon社のサーバと通信することができず、アップデートパッケージが入手できないことを意味しています。
継続して発生していない限り、問題ありません。

ソースプロファイルはシャドープロファイルとして作成されています。
シャドープロファイルの検索には以下の理由により、大量のメモリを使用する場合がありますので、リソース不足が発生した場合は検索対象を限定したリアルプロファイルの作成を検討してください。

シャドープロファイルは実体がなく、AllSources全体を検索することになります。ディスクに保存しているデータは圧縮されていますのでメモリに展開時には3倍程度に膨れ上がります。

本メッセージはレポートを外部データストレージに送信するように設定されていたものの、Flowmonの外部データストレージ設定を解除するなどして外部データストレージにアクセスできないために発生しています。

レポート設定から外部データストレージへの送信設定を解除するか、外部データストレージを再設定してください。また、送信されていない古いレポートのキューを以下のコマンドで削除することでもエラーメッセージを止めることができます。

rm -f /var/www/backend/reports/remote/*

バージョンアップ後、古いバージョンのパッケージを削除できなかったというメッセージです。 特に問題はなく、対処も必要ありません。

メモリの圧迫の為、強制終了したというメッセージです。
一部のクエリが大量のメモリを消費すると、システムクラッシュやその他の予期しない動作を防ぐために、クエリが強制終了されます。

強制終了しても再処理時に自動的に起動しますので、現在通常通り解析を行えるようでしたら、対処の必要はありません。

なお本メッセージが頻発する場合は、
Configuration Center　＞　概要 よりメモリの使用量をご確認いただき、
常時高いようであれば、メモリ使用量を下げるため、以下をお試しください。

・定期レポートを削減する。
定期レポートを利用しますと、メモリが使用されます。
定期レポートが多数ある場合、多くのメモリを使用しますので、不要な定期レポートは削除してください。

・同時に複数の解析処理をしない。
同時に複数の解析処理を行いますと、多くのメモリを使用しますので、
同時に複数の解析を行わないようにして下さい。

・シャドープロファイルで長期間の解析をしない。
シャドープロファイルで解析を行う場合、もととなったプロファイルからデータを取得し、メモリ上に展開する為、多くのメモリを使用します。
その為、長期間の解析を行う場合、より多くのメモリを使用する為、シャドープロファイルで長期間の解析を控えるようにして下さい。

FlowmonにDNSサーバが正しく登録されていない可能性が有ります。
利用可能なDNSサーバが登録されているかどうか、下記の手順より確認してください。

①Flowmon Configuration Center＞システム設定＞DNSサーバ 「プライマリDNS」に任意のDNSサーバが登録されていることを確認します。
登録されていない場合は、適切なDNSサーバを登録をします。

②FlowmonのCLIに接続後、以下のコマンドを実行してDNSが利用できることを確認します。
nslookup services.flowmon.com

 例）172.16.0.1をDNSサーバとして登録した場合

Server:         172.16.0.1
Address:        172.16.0.1#53

Non-authoritative answer:
Name:   services.flowmon.com
Address: 89.185.224.79

③上記②でエラーが表示された場合、services.flowmon.comへの接続がファイアウォールでブロックされている、またはDNSサーバが正しく設定されていない可能性があります。
ファイアウォール接続がブロックされていないか、DNSサーバの設定に誤りが無いかを確認してください。

5分間隔ごとにRRDデータがRRDファイルに書き込まれます。
nfsenプロセスがRRDファイルに書き込む際に競合がある場合は、このようなメッセージが表示されます。
しかし、これは正常な動作であり、Flowmonデバイスの機能に影響はありません。

1つ以上のプロファイルのチャネルの親チャネルが選択されている場合、既存の親プロファイルは変更できなくなるため、注意喚起のメッセージとして表示されます。

またチャンネルの定義で選択されたチャンネルのみが使用されている場合にも常に表示される標準的な情報メッセージですので、問題はありません。

CLIより、sudo cat /var/log/daemon | grep quota | tail コマンドを実行しるすと、クォーターに関する最新のログメッセージが10件、以下のように出力されます。

[flowmon@localhost profiles-data]$ sudo cat /var/log/daemon | grep quota | tail
Feb 18 14:34:57 localhost dsw[3614]: Plugin fmc-ipmac: quota exceeded! Current size 968.2M, quota 967.5M
Feb 18 14:36:04 localhost dsw[3614]: Plugin fmc-ipmac: quota exceeded! Current size 968.2M, quota 967.5M
Feb 18 14:37:10 localhost dsw[3614]: Plugin fmc-ipmac: quota exceeded! Current size 968.2M, quota 967.5M
Feb 18 14:45:47 localhost dsw[3614]: nfexpire process is running - quota management postponed
Feb 18 14:50:58 localhost dsw[3614]: Plugin fmc-ipmac: quota exceeded! Current size 967.6M, quota 967.5M
Feb 18 14:52:00 localhost dsw[3614]: Plugin fmc-ipmac: quota exceeded! Current size 967.6M, quota 967.5M
Feb 18 14:53:05 localhost dsw[3614]: Plugin fmc-ipmac: quota exceeded! Current size 967.6M, quota 967.5M
Feb 18 14:54:09 localhost dsw[3614]: Plugin fmc-ipmac: quota exceeded! Current size 967.6M, quota 967.5M
Feb 18 14:55:18 localhost dsw[3614]: Plugin fmc-ipmac: quota exceeded! Current size 967.6M, quota 967.5M
Feb 18 14:56:22 localhost dsw[3614]: Plugin fmc-ipmac: quota exceeded! Current size 967.6M, quota 967.5M
[flowmon@localhost profiles-data]$

表題のメッセージはリソース不足のために発報されるメッセージです。

仮想版Flowmonをご利用の場合は、Configuration Center＞概要　のメモリが慢性的に使用率が高い場合には、メモリの追加割り当てをご検討下さい。

またshadowプロファイルで長期間の解析を行いますと、メモリをより多く消費する傾向にある為、
そのような解析を行う場合もメモリをより多く割り当てるようにお願いします。

Configuration Center ＞ システム ＞ ユーザの役割が「admin」に紐づくユーザのメールアドレスに重要なシステムメッセージがメールで送付されます。

通知されるメッセージについては以下のFAQもご確認ください。
Flowmon FAQ 223

Flowmonのログは5MB単位に4世代で管理されています。
システムアクティビティログおよびユーザアクティビティログは最大でも1種類辺り1ファイルが5MBに設定されています。
よって、ログは4世代まで保存されますが、ログのサイズが5MBに超えた際に、ローテーションされます。

○○月○○日のユーザアクテビティログがまだローテーションされない場合、GUIから設定変更を確認することができます。
Configuration center＞ログ＞ユーザアクテビティログにて以下を設定してください。

　ユーザ：すべてのユーザ、又は確認したいユーザ
　モジュール：変更を確認したい画面
　アクションタイプ：変更

FlowmonにDNSサーバが正しく登録されていない可能性がございます。
利用可能なDNSサーバが登録されているかどうか、下記の手順によりご確認ください。

①Flowmon Configuration Center>システム>システム設定>DNSサーバ 「プライマリDNS」に任意のIPアドレスが登録されているかご確認下さい。
登録されていない場合は、登録をお願いいたします。

②FlowmonコンソールにSSHで接続します。
「Tera term」などのssh端末ソフトで、Flowmon管理コンソールのIPにアクセスします。
ホスト：FlowmonのIPアドレス
ユーザ:flowmon
パスワード:inv3a-t3ch（初期パスワード）
※実際の設定値は、パラメータシートにてご確認ください。
コマンドpwdでログイン後のパスが/home/flowmon/であることを確認してください。

③下記のコマンドを指定下さい。
nslookup services.flowmon.com

④表示されたServer:に①で登録されたIPアドレスが表示されるかご確認下さい。
※例：①でDNSサーバに172.16.0.3と登録した場合、Server:172.16.0.3と出力されます。

⑤次に、Non-authoritative answer:以下に下記が出力されるかどうかご確認下さい。
Name:services.flowmon.com
Address:89.185.224.79

上記⑤でエラー表示になった場合、services.flowmon.comへの接続がファイアウォールでブロックされている、またはDNSサーバが正しく設定されていない可能性がございます。 接続がブロックされていないかおよびDNSサーバの設定をご確認お願いします。

上記のログはFlowmonのバグです。
このメッセージによる影響はございませんので対処していただく必要はありません。

しかし、もしこのログを今後表示させたくない場合は弊社サポートまでお問い合わせください。

Flowmonで使用しているTLSが古い（恐らく TLS 1.0）ため、このようなメッセージが表示されます。
インターネットへアクセスする際に古いTLSの使用が許可される場合は、TLS 1.0, 1.2, 1.2を使用できるように設定し、本事象が改善されるかを試してください。

ライセンスの有効期限が切れているままでメージャーバージョンアップをすると、このようなメッセージが表示されます。
Configuration center>ライセンス画面にて、ライセンスの有効期限を確認してください。

ライセンスを適用した後、エクスポーターのサービスが正しく起動しなかったためエラーメッセージが表示されましたが、プローブを再起動することで、この問題を解決できます。

再起動方法：
Configuration center>システム>システム設定>メンテナンス＞システム電源の制御の「再起動」

※再起動中はFlowの生成及び収集は行われませんので、その期間のグラフも途切れて表示されます。
※再起動の所要時間はディスクサイズやデータ量に応じて異なりますがおおよそ数分間となります。

本メッセージは条件に該当するデータが無いことを示しています。
フィルタの書き方に誤りがある、もしくはFlowデータにフィルタで絞り込んだ対象の情報がない場合に表示されます。

このメッセージの主な理由は、フローソースに問題がある場合にユーザーに知らせるためです。
フローソースが正常に動作し、フローを生成しているかどうかを確認してください。
フローが生成されている場合、SNMPのレスポンスがタイムアウトを超えたことが原因である可能性が高いです。

送信サーバが宛先アドレス宛てにメールを送信できなかった旨のメッセージです。
SMTPサーバの設定が誤っている、あるいは宛先に問題があります。

添付ファイルはbase64にエンコードされると容量が大きくなります。
添付ファイルのサイズと最大セッションの間に少なくとも30％の余裕があるようにする必要があります。

従って、SMTPサーバ−のしきい値を上げるか、
レポートのサイズを小さくするためにレポートを分けて作成してください。

ライセンスの更新が完了すると、「新しいライセンスのアップロード」ボタンの右側に表示されるウェイティングカーソル（くるくる回る輪）が消え、「ライセンス」の画面上部に「ライセンスは更新されました」というメッセージが表示されます。

これを以てライセンスの適用によるサービスの再起動が完了し、正常に稼働し始めたとお考えください。
また、ビルトインコレクタが正常に再起動されますとSyslogに以下のメッセージが表示され始めます。これはFlowmonが各フローソースから受信したフローを5分間でどの程度処理したかを示しているものです。

Jul 10 14:20:00 hyper-v-test-collector nfcapd[6409]: stats – LogFlogSourcesStats – Ident: ‘192-168-70-212_NetFlowport3001’ Flows: 2079, Packets: 81192, Bytes: 73697024, Sequence Errors: 0, Bad Packets: 0 Exporters count: 2

FlowmonにSSH接続後、以下のコマンドを実行してください。
cat /etc/flowmon/license

はい、可能です。
新しいHWID用のライセンスを申請する際には旧Flowmonを削除したことを証明するもの（VMWare/Hyper-V などの仮想化基盤のGUIの仮想マシン一覧より、旧Flowmon（古いHWID）の削除前後が写ったハードコピーなど）を合わせて送付していただく必要があります。

製品版の物理アプライアンスの場合は、ライセンスの有効期限が切れても、 基本機能（例 コレクタ：解析やレポート処理等、プローブ：フローの生成等）は変わらず使用可能です。 また、Flowmon OSのマイナーバージョンアップ（例：ver11.01.07→ver11.01.13）も可能です。

しかしながら、ライセンスの有効期限が切れますと、以下の制限があります。
・Flowmon OSのメージャーバージョンアップ（例 ver11.01.07→ ver 12.01.01）は不可能となります。
・Configuration center>バージョンにて「自動パッケージダウンロード」機能が有効になっている場合、バージョンアップモジュールのダウンロードは不可能となります。
・プリセット機能を利用している場合、プリセットの取得/更新はできなくなります。
・Flowmon ADSをご利用の場合、ADSのブラックリストの更新はできなくなります。

ADSのBPATTERNSはゴールドサポートまたはプラチナサポートが有効な場合にダウンロード/適用が可能です。
Configuration Center>ライセンス　にて、ライセンスが切れていないかを確認してください。
※現在、Gold SupportはStandard Support、Platinum SupportはExtended Supportに名称変更されています。
有効なライセンスが適用されますと、当メッセージは表示されなくなります。

30日以内にライセンス期限が切れる場合、本メッセージが表示されます。
新しいライセンスを適用しますと、本メッセージが表示されなくなります。

コレクタならディスク容量、プローブならミラーポート数と回線速度でのライセンスおよびサイジングとなります。

CLIコマンド[top]を使用していただくことで実行中のプロセスからCPU利用率の高いものを確認可能です。

topコマンドによって確認が可能なFlowmonの状態の詳細は以下の５つです。
その他のプロセスの負荷状況に関しては検出できません。

nfdump：クエリの計算、チャプタの計算
nfprofile：プロファイルの作成
flowmon-main：エクスポーター（モニタリングポート）プロセス
suricata-main：suricataプラグインプロセス
nfcapd-streamd：ビルトインコレクタのプロセス

CLIコマンド[ps aux | grep rm]を実行していただくことで削除中のプロファイルを確認可能です。
以下はプロファイル（testprofile）を削除しているときの出力例です。

[flowmon@localhost ^~]$ ps aux | grep rm
root 25580 17.0 0.0 107976 768 ? DN 11:40 0:00 /bin/rm -rf /data/nfsen/profiles-data/.testprofile-7833c0
flowmon 25626 0.0 0.0 112648 956 pts/1 S<+ 11:40 0:00 grep –color=auto rm [flowmon@localhost ^~]$

システムの使用状態の各項目は、目安として以下のような基準を超えないことを推奨します。

  ・システム負荷：70％
  ・メモリ：80％
  ・データディスクの使用状況：90％
  ・システムディスクの使用状況：80％
  ・ブートディスクの使用状況：80％

負荷状況はリアルタイムで変化します。
データディスクの使用状況以外の項目は、その時の負荷状況により、グラフの色が赤＞オレンジ＞緑のように負荷が高い順に変化します。
特にグラフが赤色の時は負荷が高い状況です。

Monitoring Center>レポート>チャプター にて新しいチャプターを作成時に、再計算を1日/10日/30日から選択していただくことでその選択した日にち分の過去のグラフが表示されます。 「再計算しない」を選択すると、チャプターを作成した時点からのデータを取得するので過去のグラフは表示されません。

また、再計算を1日/10日/30日から選択した場合も、バックグラウンドで計算が終わるまではデータが無いためグラフは表示されません。
バックグラウンドで行われている計算状況は Configuration Center>FMC設定>レポート>基本設定 の「ジョブ計算の進捗状況」にて確認できます。
処理するジョブがある場合は、「キュー内のジョブ：xx」のように表示されます。
よって、バックグラウンドで計算が終わり次第、グラフが表示されることになります。

Flowmonの動作の重さを改善する一般的な方法をご紹介いたします。

・CPU使用率などが高く、全体的な操作が遅い
  ⇒  使っていないレポート、プロファイルがあれば削除して、バックグラウンドの処理を軽くする。

・解析が遅い
  ⇒  ・シャドウプロファイルはリアルプロファイルに変更する（ストレージの空き容量に注意が必要です）       ・フィルタの書き方を見直す。「or」 を使っている場合は、「in」 に変える。それでも遅い場合はカスタムAS番号を使った方法に見直す。
      ・解析期間を短くする。

・All Sourcesの解析画面の表示が遅い
⇒  登録しているFlow sourcesが多数ある場合は表示するソースの数を20個程度に絞る。

その時間帯に流れているトラフィック量を元に、平均bpsを算出してファイルに保存しています。
具体的には5分プロファイルであれば、5分間に取得したフローデータのバイト数を合算しbpsに変換後、300秒で割ることによって5分間あたりの平均bpsを算出しています。
「最大ビット/秒」はレポート作成期間の中で平均bpsが一番大きいものを表示しています。
プロファイルの粒度とファイルの生成間隔の違いは以下のとおりです。

　 5分プロファイル:5分間隔でファイル生成
　 1分プロファイル:30秒間隔でファイル生成
　 30秒プロファイル:30秒間隔でファイル生成

注意：1分プロファイルでは30秒プロファイルと同様に30秒単位でファイルを生成し、最大ビット/秒は30秒平均で最大のものが表示されます。しかし、グラフの線画は30秒単位に作成したファイルを2つずつ合計し、1分として表示していますので、グラフ表示と「最大ビット/秒」の表示には乖離が発生します。

明確な上限値はありません。
但し、CPU／メモリ使用率及びレポートの生成時間はチャプタ数に比例して増加します。

毎月１日 AM 01:25にレポートが生成され、送付されます。

チャプタのタイプによって異なります。
トップチャプタのレポートの場合、統計の取得範囲は設定された勤務時間帯のみに限定されます。
トラフィックチャプタのレポートの場合、統計の取得範囲としては期間指定した範囲(日次・月次・週次等）全体のものが含まれますが、勤務時間外の時間帯はグレーで時間外であることが示されます。

フローソースのタイムスタンプに誤りがある可能性があります。

「Flowmon Monitoring Center」＞「解析」＞「高度な解析」＞「フローのリスト」から該当期間のフローを表示し、"開始時間 ? 最終確認"の欄が空欄となっているデータがないか確認してください。
空欄となっているデータがある場合は、フロー送信元機器の時刻設定を確認してください。また、Flowmonとフロー送信元機器との時刻が同じであることを確認してください。

レポートのビット/秒のレートは、転送されたデータの量と期間を使用して計算されますので、時刻がずれていると正常に表示されません。

レポート名にはSAMBAデバイスでエラーが発生する事を防ぐために禁則文字が設定されています。
禁則文字をレポート名に使用した場合、以下のように削除またはアンダーバーに変換されます。

＜削除される文字＞

「 / 」 、「 ' 」 、「 ? 」

＜「_」 へ変換される文字＞

「スペース」、「 ; 」、「 - 」

レポート数の増加などにより現状のクォータ設定で保存できる統計情報の上限に達した可能性があります。
クォータの管理画面でレポートに割り当てているクォータを拡大し、必要な日数分の統計情報を保存できるように調整してください。

例えば、121日間分のPDFレポートグラフを5分粒度で表示すると34848本の線を引くことになりますが、
グラフが大きくなりすぎてそのまま表示するのは現実的ではありません。
そのため、24時間粒度に丸めて表示されます。
CSVでは5分粒度で多数の情報を出力することが可能なため、5分粒度のまま表示されます。

レポートは選択した曜日の翌日午前1:25頃に電子メールで送信または外部ストレージに保存されます。
まず、生成するレポートのリストが作成され、その後に、レポートが生成および送信・保存されます。

唯一の例外は、レポートの期間を「カスタム」に設定したレポートです。
このようなレポートは、定義した「終了」時間の約1時間15分後に送信・保存されます。
ご利用の環境によりこの時間は前後することがあります。

※ユーザガイドにはカスタム期間のレポートは「定義した時刻の約15分後に生成されます」と記載されていますが、上記については将来のバージョンにて修正される予定です。

はい、Monitoring Centerのレポートの送信では、メールで送信したレポートと外部ストレージへ保存したレポートの場合は、ユーザーの「ドメイン名解決」の有効/無効に関わらずドメイン名解決が実行される仕様です。

レポートと同じくダッシュボードもトップチャプターのデータは１時間に１回に反映されます。
トラフィックチャプターのように5分毎にデータが反映され、ダッシュボードに表示することはできません。
※トラフィックチャプターはリアルタイムではなく、5分毎にデータが反映され、グラフ化します。

当メッセージが表示される原因は以下が考えられます。

・チャプタを最近作成された等、レポート表示指定期間分のデータが存在しない場合

例えば、5/9 10:00にチャプターを作成し、レポートの表示期間を5/8 12:00 – 5/9 11:00などに設定すると、 チャプターを作成した日時よりも前の日時が含まれているため当メッセージが表示されます。
なお、トップチャプターでは再計算をすることで最大30日までは過去のデータを参照できます。

・ディスク割り当て容量が枯渇していたことで、レポート表示指定期間分の一部データが存在しない場合

Configuration Center>リソースマネージャ>クォータの管理　にて、
「Flowmon Monitoring Centerのバックエンド」の「レポート」の 現在のサイズが設定しているサイズに達し、データが削除されている場合、当メッセージが表示されます。

しかしながら、ver12.02.04以前のバージョンではレポートの表示期間全体にデータが存在していても当メッセージが表示される不具合があります。
この不具合はFlowmon OSバージョン12.02.05で修正される予定となっており、 現状はメッセージが出力されていても、レポートに表示されるデータには影響はありません。

Monitoring Center>解析>高度な解析 にて、
レポートと同じフィルタや期間（数日間）を設定し、解析結果がレポートと同じであれば レポートの表示期間全体にデータが存在していることを確認できます。

CSV形式での出力も可能になります。

レポートデータはDB処理の為、生データに比べ長期的に保存できる傾向があります。
コレクタのモデルにもよりますが、1年以上保持されているケースが多いです。

フロー情報にDNSやDHCPなどの情報が含まれていれば表示可能です。

直近1時間～先月、もしくはカスタムから日付、時間を設定し出力することができます。
エクスポートはPDFもしくはCSVですることができます。(メール送信も可能)

以下の方法で表示する項目をカスタマイズすることが可能です。
Dashboards&enspand&enspReports>レポート>対象のレポートの右上歯車マーク>チャプターの編集>概要の円グラフ>概要にて、［その他］や［すべてのトラフィック］等必要なものを選択してください。

キャッシュページからのページ生成に失敗している可能性があります。
CLIにアクセスし、以下のコマンドを実行してキャッシュされているファイルを削除してください。
rm -rf /var/www/temp/*
find /var/www/shtml/js -name "*.tr_??.js" -exec rm {}\;
find /var/www/shtml/js -name "@js-FM*.js" -exec rm {} \;
find /var/www/shtml/js -name "@less-FM*.cdd" -exec rm {} \;
rm -rf /var/www/shtml/css/generated

Flowmonのディスクの空き容量が無いと作業用領域不足のため、追加作業が完了しない場合があります。

Configuration Center > リソースマネージャ > クォータの管理 より、ディスクの使用率がなるべく90%以下となるようにクォータの設定を調整してください。

チャプタ名を変更するとすでに計算されたトラフィックのグラフデータが損失します。
損失するのはチャプタ名が変更された時点からそれ以前のグラフデータです。

これは既知のバグであり、バージョン11.01.09で修正されています。

原因となる動作にはチャプタ名の変更だけでなく、TopNの設定、フィルタ内容の変更を含みます。
（チャプタタイプ、統計基準、並べ替え基準、チャプター列の変更は新しいアイテムとして保存する必要があるため原因となる動作に含まれません。）

グラフデータは再計算によって復旧することが可能ですが再計算は安易にできるものではなく、場合によっては開発元に再計算用のパッケージ作成を依頼する必要があります。
再計算はFlowmonへの負荷が高くサービスへの影響も懸念されるため、1度の再計算でパッケージが指定できるのは1か月分のトラフィックデータとなります。

チャプタ名の変更を必要とする運用をされている場合には、Flowmonのバージョンを最新の11.01.09にアップグレードしていただいたうえでチャプタ名を変更することを推奨します。

Flowmonが正式に対応しているブラウザは下記の3つです。
––––
Google Chrome
Firefox
Microsoft Edge
––––
なお、FlowmonではInternet Explorerのサポートはしておりません。ご了承ください。

上限はありません。ですが、リソース等を消費するため、大量に宛先メールアドレスを設定しますと機器に負担をかける恐れがあります。

同一セグメントのIPアドレスを割り当てることはできません。
管理インターフェース１と管理インターフェース2はセグメントを分けてください。

「ダッシュボード」＞右上の歯車マーク＞対象のダッシュボードのごみ箱マーク をクリックすることでタグ単位に削除することが可能です。

古いデータから削除していきます。削除のルールは以下のとおりです。

• 1）1時間単位で丸1日分を削除します（少なくとも1時間単位で最後の7日間は残っている必要があります）
• 2）上記の手順で十分な空き容量が得られない場合、1日単位で月全体を削除します（少なくとも先月は残っている必要があります）。
• 3）上記の手順で十分な空き容量が得られない場合、1時間単位で残りの日を残り1日になるまで削除します。

FlowmonのHDDは暗号化されておりません。

Flowmonはメッセージの内容に従って異なるファシリティコードで送信しますが、ファシリティコードを変更することが出来ません。
そのため、Syslogサーバ側で受け取るファシリティコードを限定していないかを確認してください。

FlowmonはIPv4inIPv6トンネルの解析をサポートしておりません。

IPトンネルを使用されている場合、Flowmon OSで解析できるのは最初のIPv6のL3ヘッダーまでです。
よって、カプセル化されたIPv4の情報およびアプリケーション情報を解析することはできず、IPv4のL3情報、ホスト名などの情報を解析することはできません。

管理インターフェース2の使用例としましては、FlowmonコレクタとFlowmonプローブを直結させたい場合、 管理インターフェイス1はGUI管理用に使用し、管理インターフェイス2はフロー収集用に使用します。

ただし、管理インターフェース2を使用する場合は下記の注意点があります。

1. 管理インターフェイス1と管理インタフェース2を同じセグメントに設定することはできません。
2. 管理インターフェース2の設定はIPアドレスとネットマスクのみですので、ゲートウェイは管理インターフェース1と同じになります。

　そのため、管理インターフェース2を使用する際には、管理インタフェース1向けのスタティックルートの設定、ネットワーク機器側へのルーティングの設定などが必要となります。
※基本的には管理インターフェイス1のみのご利用で問題ありません。お客様の運用ポリシーによって管理系通信とデータ系通信を分けたいなどのご要望に柔軟に対応できるように用意されているものです。

■プリセットとは

■プリセットを利用して作成したプロファイルの更新について

■プリセットに更新があった場合の解析動作について
　　　定義更新後のデータを解析した場合、現在の定義にて解析が可能です。

■プリセットを利用する場合の運用方法について

ウィルス対策ソフトを導入することはできません。
導入をした場合、動作を保証することができず、サポートを提供することはできなくなります。

CLIの操作用アカウントはFlowmon固定のため、他のアカウントを追加／変更することはできません。

フローデータ（プロファイル）の削除条件は以下のとおりです。

• 1）フローデータは5分単位のファイルで管理されているため、十分な空き容量（受信したフローデータを保存できる容量）が得られるまで古いデータを5分ごとに順次削除します。
• 2）上記の手順で十分な空き容量が得られない場合、すべてのフローデータが削除される可能性があります。
  ※プロファイルの保存期間を設定されている場合は、保存期間を過ぎると古いデータから順次削除されます。

フローデータ（プロファイル）の削除処理はクォータと保存期間、ディスク使用状況で管理しています。

• ① クォータ（最大サイズ）
  指定した最大サイズの上限値に達すると、古いデータから順次削除されます。
  クォータの設定をすることでディスク使用状況が大きくならないように抑えることができます。
• ② 保存期間
  プロファイルに保存期間を設定されている場合、保存期間を過ぎたものから順次削除されます。
• ③ ディスク使用状況
  通常はクォータ設定でデータを使用状況が大きくならないように抑えますが、不測の事態でディスク使用状況が95%を超える場合、強制的にクォータを小さく設定し、Flowmonに保存しておくデータをディスク使用状況が95%になるまで減らします。

突然Flowmonが利用できなくなったという問い合わせをいただくことが有ります。
今まで利用できていた機能が以下のような症状によって利用できなくなった場合は、経路上のファイアウォールのポリシー修正によって、Flowmonが通信制限されていないか確認してください。

• リスニングポートのポート番号を変更したらFlowソースからデータを受信できなくなった。
• ソース画面に「現在のSNMPデータを読み込めません。」 と表示されるようになった。
• バージョン画面でFlowonの最新モジュールをダウンロードできなくなった。
  特にFlowmonからDNSにアクセスする経路を遮断していないか確認してください。

Flowmonの権限はFlowmon configuration center＞ユーザ設定＞役割で管理されています。

役割はプラグイン、プロファイル、ソースデータ、ダッシュボードへのアクセス制限を管理するものです。
設定により、特定のユーザのみプロファイルやダッシュボードなどの作成、編集、削除が可能な権限を付けることができます。

「Configuration Center -> ログ」に表示されるログはデータディスクに保存されています。

実際にはより複雑ですが、分かりやすくする為に、細部を簡略化して説明します。

ユーザーが設定を変更する場合、
その設定は既存の設定に上書きせず、新しい設定として保存されます。
この際、一次的に新しい設定と古い設定が並行して存在する事になります。
これは、設定を上書きをする事により発生する不整合を防ぐ為の仕様です。

なお古い設定が残り続けると設定ファイルの容量が肥大化してしまうので、
定期的に古い設定を削除する処理が行われます。これは設定ファイルの作成処理とは別に行われます。
これはクリーニング処理と呼ばれます。
クリーニング処理は、毎正時から2分後に行われます。
なおクリーニング処理は、単純な削除ではない為、時間が掛かります。
また所要時間は、設定状況により異なります。

設定ファイル間にサイズの違いがでてしまう理由は、
設定を変更し、クリーニング処理が終了する前に、設定ファイルをダウンロードすると、
新しい設定と古い設定が共存している為、ファイルサイズが大きい状態になります。
この結果、クリーニング処理前後の設定ファイルと比べるとサイズに違いがでることになります。

特定のフローを消してグラフデータに反映させる方法はありません。
このような場合は対数Y軸を使用することを推奨します。

対数Y軸を使用することで、異常に大きな値がある場合にも、グラフの小さな部分を適切な目盛りで表示することができます。
対数Y軸の表示方法はmonitoring center＞解析画面のグラフ右下にマウスオーバーすると表示されるズームボタンの近くに更にマウスオーバーすると表示されるオプションメニューから「対数Y軸」をチェックします。

safariの利用を考慮した開発はされていないことからFlowmonとの信頼性がなく、正常なご利用を保証することはできません。
問題が発生することを避けるためにも推奨ブラウザであるGoogle Chrome、FireFox、Edgeのご利用をご検討ください。

Flowmon OS Ver13にてベンダー独自フィールドを自由にFlowmonに登録して解析できるようにする計画が有りますが、現状ではConfiguration Center＞FMC設定＞フローのデータベースフィールド にてサポートされていないベンダー独自フィールドを利用することはできません。

画面右上のベルマークから該当のメッセージを選択し、「メッセージの非表示」をクリックすることで表示を消すことができます。

本メッセージはFlowmonが更新可能なパッケージの有無を確認するためのサーバにアクセスできなかったことを示すものです。
なお、Configuration Center ＞ バージョン より「自動パッケージのダウンロード」をOFFにする設定がありますが、本設定は更新可能なパッケージが見つかった場合には自動ダウンロードを実施しない。という機能です。更新可能なパッケージの有無の確認は無条件に実施されますのでご注意ください。

Configuration Center＞システム＞システム設定＞SNMP＞SNMPD.CONFの編集 より、新しいCommunityストリングを追加する事で、Communityストリングを2つ並行して設定をする事は可能です。
その他設定方法の詳細については、一般的なLinuxなどで動作するsnmpd.confと同様です。

現時点で弊社が確認しているFlowmonからメールで通知されるイベントには以下のようなものがあります。

・Flowソースの異常
・nfdump異常停止
・メモリーオーバーロードによる異常停止
・アーカイブ（バックアップ）失敗
・レポートの外部ディスク失敗
・Flow転送先異常
・新バージョンリリース時

Flowmonのサービスに影響を及ぼすイベントにおける重大度の考え方は、一般的なSyslogの考え方に準拠しています。
メールで通知されるイベントはGUI画面右上のベルアイコン（通知ボタン）に表示される中でも、0～3の4つの重大度（コード）に該当するイベントです。

現在弊社で確認しているイベントの中でも、ディスク、クォータ、メモリに関してメールで送信されるメッセージは以下のとおりです。

・ディスクやクォータに関するメッセージ

"The system is not able to decrease disk usage, the disk is getting full." - 重大度 1
（システムがディスクの使用量を下げることができないため、ディスクがいっぱいになっています。）

"The system is not able to decrease disk usage, and the disk is full. Stopping collector." - 重大度 0
（システムがディスクの使用量を下げることができないため、ディスクがいっぱいです。コレクターを停止中です。）

・メモリに関するメッセージ

"Process %s has been stopped to prevent a memory overload." - 重大度 2
（メモリのオーバーロードを防ぐためプロセスは中止されました。）

いいえ。
物理アプライアンスのデータディスクは追加不可能です。

該当の脆弱性につきましては、Flowmonは影響を受けません。

該当脆弱性は、mod_proxy が使用されているときのみ、発生する脆弱性ですが、
Flowmonでは、mod_proxyは使用されておりません。

またRED HatのCVEによりますと、CentOS 7はこの脆弱性の影響を受けないとの事ですが、
Flowmonは、CentOS 7をベースに作成されています。

以上から、Flowmonは、該当脆弱性の影響を受けません。

iDRAC専用ポートは、Enterprise版iDRACが搭載されているFlowmon Collector、Flowmon Probeに搭載されています。
なおExpress版のiDRACが搭載された機器は、iDRAC専用ポートは搭載されていませんが、
その場合、デフォルトでは管理ポートの番号が若い方が、iDRACポートと兼用になっています。

トラフィック量の差異は、仕様です。

IP通信の場合も、ポートの場合も、パケット/バイト/フロー数は期間中のパケット/バイト/フローの合計値を表示していますので、同じです。
しかしながら、それぞれが異なる基準での解析結果を表示していますので、時間ごとの合計は異なります。

IP通信の場合は、送信元IPアドレスと宛先IPアドレスの組み合わせを、ポートの場合は、ポートごとの通信を単位として集計した物の上位10位が掲載されます。それぞれ集約する基準が異なりますので、通信量の合計も異なります。
似たグラフですが、それぞれが別の解析結果を表示しています。

Monitoring Centerの「より高度な解析」中の「統計情報」では、上位500位までのみ指定出来る仕様です。

すべてのデータを一覧として照会するためには、Monitoring Centerの「フローのリスト」を使用します。
「フローのリスト」は、「次に制限」のプルダウンで「制限なし」を選択することですべてのデータの一覧を生成することができます。
「制限なし」を選択された場合、結果は画面に表示されないため、「フローのリスト」の右側にある「以前の結果」からCSV形式のファイルとしてダウンロードしてください。
注意点として、CSV形式のため、グラフ表示には対応していません。
なお、CSVに出力する項目は「出力」の「新しい出力の作成」から項目を選択することで、出力した項目を変更することができます。

admin権限のユーザーでDashboard and Reportsに作成したダッシュボードを読み取り専用ユーザーに共有するには、 ダッシュボード作成時に、「ダッシュボードを共有」にチェックを付けていただくと読み取り専用アカウント権限のユーザーでもダッシュボードを共有できます。
しかし、それだけではダッシュボードのウィジェットを全て共有することはできません。
ダッシュボードに追加したウィジェットも共有する場合には、読み取り専用ユーザーにウィジェットで利用しているプロファイルやソースを割り当てる必要があります。

プロファイルやソースの割り当て方法は以下です。

1.Configuration Center>システム>ユーザ設定>役割　にて該当の役割の「編集」ボタンを押す。
2.「FMC」タブの「割り当てられているプロファイル」と「割り当てられているソース」にて共有したいダッシュボードのウィジェットで使用しているプロファイルやソースを選択する。

Monitoring Center>レポート>チャプター にて新しいチャプターを作成時に、再計算を1日/10日/30日から選択していただくことでその選択した日にち分の過去のグラフが表示されます。 「再計算しない」を選択すると、チャプターを作成した時点からのデータを取得するので過去のグラフは表示されません。

また、再計算を1日/10日/30日から選択した場合も、バックグラウンドで計算が終わるまではデータが無いためグラフは表示されません。
バックグラウンドで行われている計算状況は Configuration Center>FMC設定>レポート>基本設定 の「ジョブ計算の進捗状況」にて確認できます。
処理するジョブがある場合は、「キュー内のジョブ：xx」のように表示されます。
よって、バックグラウンドで計算が終わり次第、グラフが表示されることになります。

Flowmon設定のDNSサーバーのIPアドレスは「コンフィグレーションセンター」→「システム」→「インターフェースの変更」にある
「プライマリDNS」/「セカンダリDNS」の設定から変更可能です。

1. アプライアンスログの「暗号化しないでダウンロード」は、ログの展開が可能であり、アプライアンスログの中身を確認可能です。
2. アプライアンスログの「暗号化してダウンロード」は、開発元のみアプライアンスログの中身を展開・確認可能です。

FOS 12.01.01では2.4.6を使用しています。

Apacheのバージョンは以下のコマンドで確認することができます。
[flowmon@localhost ~]$ apachectl -v
Server version: Apache/2.4.6 (CentOS)
Server built: Jan 25 2022 14:08:43

FlowmonはCentOS Linux 7を使用しています。
詳細はFlowmonのCLIより hostnamectl コマンドを使用することで確認できます。
また、FlowmonOS Ver11以降の場合はcat /etc/redhat-release コマンドでも確認することができます。

Flowmonは、参照するDNSサーバに登録されているIPアドレスのみをドメイン解決することが出来るため、DNSサーバに登録されている情報がDNS参照先の設定変更前と変更後で異なる場合（例えば、LAN内の機器を登録している内部用DNSから、外部公開用のDNSに変更した場合等）は、Flowmonで名前解決が出来るIPアドレスが変わる可能性があります。

作業前後に、ドメイン名解決を有効にして解析を実行することで、ドメイン解決が正常に行われているかを確認することができます。
ドメイン解決を有効にする方法は以下をご参照ください。
Configuration Center>Flowmon画面右上のアカウント名をクリック>ユーザ設定>「＋解決」>「ドメイン名解決」にチェックを入れる上記の手順でドメイン名を有効にした後、Monitoring Center>解析>高度な解析 にて任意の設定で解析を実行し、IPアドレスがドメイン名で表示されていれば、ドメイン解決は正常に動作しています。
なお、FlowmonのDNSは1時間キャッシュされますので、設定変更後、1時間以内に動作確認を実施する場合はDNSキャッシュクリアも必要に応じて実施してください。

DNSキャッシュのクリア方法は以下のFAQを参照してください。 https://flowmonbp.orizon.co.jp/faqlist/flowmon-faq-342

DNSのキャッシュはGUIもしくはCLIからクリアすることが可能です。

【GUIからDNSのキャッシュクリア】
Configuration Center>システム>システム設定>管理インターフェース１ にて「保存」ボタンの横にある「DNSキャッシュの消去」をクリックしてください

【CLIからDNSのキャッシュクリア】
Flowmonは、nscd.serviceを使用してDNSのキャッシュを行っていますので、nscd.serviceを再起動することでDNSのキャッシュをクリアすることが可能です。
手順は以下を参照してください。

1. 1.FlowmonコンソールにSSHで接続します。
   「Teraterm」などのssh端末ソフトで、Flowmon管理コンソールのIPにアクセスします。
   ホスト：<FlowmonのIPアドレス>
   ユーザ : flowmon
   パスワード : inv3a-t3ch（初期パスワード）
    ※実際の設定値は、パラメータシートにてご確認ください。
   コマンド pwdでログイン後のパスが /home/flowmon/ であることを確認してください。


2. 2.以下のコマンドを実行します。
   sudo /sbin/service nscd restart

ローカルDNSキャッシュの有効期限は1時間ですので1時間が経過するとキャッシュは更新されますが、すぐにキャッシュを更新されたい場合は上記の手順を実施してください。

設定ファイルアップロード時のモードによって設定ファイルアップロード後のFlowmonの状態が変わります。

Configuration Center>システム>メンテナンス>設定ファイル>アップロード にて、 設定ファイルを選択し、「アップロード」をクリックすると アップロードする項目を選択する画面が表示され、任意の項目のみをアップロードすることが出来ます。
最下部の「追加設定」にて、「追加して変更」もしくは「削除して作成」が選択できます。
「追加して変更」では対象の機器に元々存在してるソースやプロファイルに加え、設定ファイルに存在するソースやプロファイルが追加されます。 また、対象の機器に既に存在するソースやプロファイルは設定ファイルに従って変更されます。
「削除して作成」では対象機器に元々存在しているソースやプロファイルは一旦全て削除され、設定ファイルに存在するソースやプロファイルが作成されます。 ソースやプロファイルが削除されますと今まで受信したフローデータも削除されますのでご注意ください。
バージョンが異なるFlowmonに設定ファイルをアップロードする場合、保証されているのは前のバージョンの最後の安定版となります。 例えば、バージョン11.0.xからダウンロードされた設定ファイルは、バージョン11.1.yと互換性があります。
xmlファイルを修正し、それをアップロードするとその変更内容が適用されます。

メールの設定にてSMTP認証のパスワードを入力し保存するとパスワード欄は空欄となる仕様です。

管理インターフェース1のみを使用している場合は管理インターフェース1から送信されます。
もし、管理インターフェース2も使用している場合は、メールサーバへのルーティング設定に従ってインタフェースが選択されます。
従って、Configuration Center>システム>システム設定>管理インターフェース2 にて「IP設定の有効化」を有効にした際に表示される「スタティックルート」にてメールサーバ向けのスタティックルートが設定されていれば、管理インタフェース2から送信され、何もスタティックルートが設定されていなければ、デフォルトゲートウェイに従うため、管理インタフェース1から送信されます。

FlowmonコレクタではすべてのFlowを受信する仕様の為、Flowを間引きすることはできません。

Disk枯渇への処置として、すべてのトラフィックが保持されているAll sources領域を少し削減し、長期保持したい対象トラフィックで個別にプロファイルを作成することで、特定のトラフィックをある程度長期保存することはできます。　
※全体トラフィックの保持期間は減ります。

プロファイルの作成はmonitoring center>プロファイル>プロファイル編集>新しいプロファイルにて作成することができます。 プロファイルを作成する際に「実プロファイル」「最大サイズ」、「保存期限」を設定すると、 １つのプロファイルで保存できる最大データや保存期間を設定できます。

なお、サンプリングでFlow受信した場合には、サンプリングレートでパケットを間引くため、すべてのトラフィックがまんべんなく保持できます。
プロファイルの場合にはフィルタを指定し、あらかじめ特定のトラフィックで絞る必要がございますのでご留意ください。

LDAPの設定（AD連携）前にローカルでFlowmonユーザを作成した場合、ローカルユーザとして設定したパスワードでログインできます。
しかしながら、仕様上、ローカルで作成したユーザをADサーバ上で編集することができません。
よって、LDAP設定（AD連携）後には別途ADサーバのユーザを作成していただき、Flowmonにログインする必要があります。

ADサーバーと連携してユーザー作成を行う流れは以下になります。
1) ADサーバーにFlowmonで使用するユーザ及び、グループを作成します。
2) Configuration center>システム>システム設定>LDAP設定（AD連携）を行います。
3) Configuration center>システム>ユーザー設定>役割にてADサーバに作成したグループを役割として登録します。

ADサーバーで作成したユーザ（グループに所属している必要あり）でFlowmonにログインをした際に、ユーザが自動作成されます。

リスニングポートの画面で「欠落しているタイムスタンプの生成」>「アクティブタイムアウト」機能は、フローソースがタイムスタンプを生成できない場合、Flowmonコレクタ自体がタイムスタンプを生成する設定です。
※タイムスタンプなしのフローを正しく受信するには、アクティブタイムアウト値を手動で設定する必要があります。

アップロード中には設定ファイルをアップロードしたことによって（プロファイル数、ソース数）、システム負荷が上昇する場合がございますが、こちらはら一時的な現象です。

また、弊社の環境で確認したところ、アップロード中にはnfsenサービスが再起動されます。
※nfsenとはプロファイルの作成及びビルトインコレクタのプロセスを監視するものです。
nfsenの再起動により、一時的にトラフィックグラフが欠ける可能性があります。

可能です。設定手順は以下をご参照ください。
【プローブの場合】
Configuration Center>モニタリングポート>使用したいポートの「ターゲット」タブの「新しいターゲット」にてフローデータの転送先IPアドレスを登録します。

Flowmon画面右上のはてなマークから展開できるユーザーガイドの 4.Configuration Center>4.3モニタリングポート の「ターゲット」にて詳細をご確認いただけます。

【コレクタの場合】
Configuration Center>FMC設定>ビルトインコレクタ>ターゲットの転送>新しい転送 にて転送先のIPアドレスと使用するリスニングポートを入力します。

Flowmon画面右上のはてなマークから展開できるユーザーガイドの 5.Flowmon Monitoritng Center>5.1 FMC設定 の「ビルトインコレクタ - 転送ターゲット」にて詳細をご確認いただけます。

①Flowmonでは PostgreSQLを使用しています。

②Flowmon GUI及びCLIからではデータベースのログを生成することができませんが、データベースのログはアプライアンスログに含まれます。
※データベースへのアクセスログは記録していません。
データベースのログを確認したい場合、暗号化しないアプライアンスログをダウンロードしていただき、ログファイルを展開しますと、postgresフォルダの中にデータベースのログを確認いただけます。

③FlowmonのデータベースはFlowmonの設定、レポート、アクティブデバイス、ユーザ管理等を保存するために使用されます。
※フロー データはデータベースではなく、nfcapdファイルに保存されます。
そのため、データベースに保存されているパスワードのみが暗号化されます。
その他は暗号化されていません。

④パスワードのみが暗号化されますが、その他の設定情報は暗号化されません。

①/tmp/配下、/var/tmp/配下にあるファイルは定期的に削除されます。
②スクリプトを置きたい場合は、/home/flowmonの配下に新しいディレクトリを作成し、そちらにスクリプトファイルを置いてください。

弊社で確認をしたところ、「プロファイル名」と「チャネル名」は英数字、日本語、空白、また以下の記号が使用可能です。
※全ての記号が網羅されているわけではありませんので使用されたい記号があれば弊社サポートまでお問い合わせください。

!”#$%&'()=~|<>?_{}[]-^\,./;:@「」

また、最大文字数は100文字です。
※プロファイル作成時は100文字以上入力可能ですが、保存すると100文字に省略されます。

「グループ（名）」に使用できる文字はa～z、A～Z、0～9のみです。
また、最大文字数は31文字です。※31文字以上は入力できません。

一般ユーザには/etc/rc.d/rc.localの書き込み権限がないので編集は出来かねます。
※rootパスワードは公開されておりません。
cronを編集することは可能です。
シェルを使用して、cronで定期的に実行するように登録することは問題ありませんが、
tcpdumpやシェル、cronについてはサポート対象外となります。

弊社ではtcpdumpでパケットを取得する際に/home/flowmonにファイルを保存していただくように案内をしています。
( tcpdump -s0 -i <ネットワークインタフェース 例：eth0> host <ソースのIP address> -w <ファイル名>.pcap )
しかし、/home/flowmonの容量を消費しないように、tcpdumpファイルをローカルに保存した後、pcapファイルを削除するように推奨します。

1.Flowmonコンソール(CLI)にログインしてください。
2.1.nfcapdファイルが/mnt/external/下にある場合、以下のコマンドを実行します。

/usr/local/bin/nfdump -R /mnt/external/<プロファイル名>/<チャネル名>/<年>/<月>/<日>/nfcapd.202104152350 -c ’20’
※ -c ’20’ はデータを20個まで出力されるオプション

2.2.nfcapdファイルがローカルにある場合
WinSCP等のssh コピー(SCP)機能を持ったソフトウェアで管理コンソールにアクセスして、nfcapdファイルを /home/flowmon/下に保存し、以下のコマンドを実行します。
/usr/local/bin/nfdump -R /home/flowmon/nfcapd.202101290005 -c ’20’　

アプライアンスログとシステムアクティビティログは別のものです。
システムアクティビティログは、アプライアンスログの中に含まれます。

◆システムアクティビティログ
上記はシステムログが表示され、Flowmonシステム内で発生するイベントが記録されます。
/var/log/daemon、/var/log/messages、/data/components/flowmonexp/log/flowmonexp.log、/var/log/li.log等が表示されます。

◆アプライアンスログ
上記はシステムイベントログ、Flowmonの設定ファイル、その他の重要な情報が含まれます。
アプライアンスログは基本的には開発元がトラブルシュートを行うために利用するログとなっており、含まれる情報については開示されていません。
しかし、アプライアンスログを暗号化しないでダウンロードすることによって、ログの中身を参照いただくことは可能です。

FlowmonにはPostfixがインストールされていますが、その機能は使用しておらず、
メール送信にはPHPの機能を使用しております。

フローデータのライブチェックの通知はベルマークから確認できるシステムメッセージに表示され、 admin権限を持ったユーザーに設定されているメールアドレス宛にも通知されます。

また、Configuration Center>システム>システム設定にてSNMP TrapやSyslogが 有効になっている場合はフローデータのライブチェックのTrapやsyslog通知が可能です。
ただし、FOS12.02まではSNMP Trapが有効になっていてもフローデータのライブチェックのTrap通知されない不具合が発生しています。
この不具合はFlowmon OSバージョン12.03で修正される予定です。

回避策として、/var/www/libs/flowmon/にある「reporting.conf」を開き、 trap_server = ”localhost”と記載されている箇所を trap_server = ”お客様の送信先サーバのIPアドレス”に変更することで SNMP Trapが送信されるようになります。
※必要に応じてtrap_port、trap_ver、trap_cstringも変更してください。

GUIで証明書情報を削除する方法はありませんが、Flowmonコンソールでの削除は可能です。
手順は以下の通りです。
１.FlowmonコンソールにSSHで接続します。
「Tera term」などのssh端末ソフトで、Flowmon管理コンソールのIPにアクセスします。

2.下記コマンドを入力してください。

sh restore_factory_settings.sh

※本コマンドは設定及びデータの初期化を行うため、以下の質問以外は「n」を入力してください。
「y」を入力すると設定及びデータが初期化されるため、ご注意ください。

Do you want to restore default HTTP and PostgreSQL SSL certificates? [Y/n]: y
(上記の質問を「ｙ」に記載すると、HTTPとFlowmonで利用しているデータベースPostgreSQLの認証が初期化されます)

いいえ、当箇所にフィルタを追加することは出来ません。

SW、HWでの提供がございます。
SW版はVMwareやHyper-V、クラウド版をご用意しているので、環境を選ばずご利用いただけます。
Flowmonではスペックの高いHWを採用しているため、物理版の方がパフォーマンスも安定しおすすめですが、すでに仮想環境を利用している場合や、オンプレ環境を利用したくないといった場合に仮想版もご好評いただいております。

Collectorを推奨する理由として、処理性能がCollectorの方が優れているという点もございますが、Probeの機能制限によるところが大きいです。
ProbeはFlow生成専用機となりますが、1TBのストレージも同梱しており、単独でのFlow解析も可能です。
ただし、Probeは1TB以上のストレージはご用意がなく、自身が生成したFlow情報のみしか受信できないため、複数のFlow生成機のトラフィックを集約することができません。
これら制限を考慮すると、長期保存、大規模環境では不向きといえます。

Flowmonが正式に対応しているブラウザは3つです。
○Google Chrome
○Firefox
○Microsoft Edge

なお、FlowmonではInternet Explorerのサポートはしておりません。

お客様環境のNW機器のスペックにもよりますが、10％～20%程度が一般的のようです。
フロー生成機のプローブを入れるとNW環境に負荷をかけずにフロー解析を始めることができるので、コレクタ＋プローブでの導入がおすすめです。

プロファイルにはAll Sourceからデータをコピーして格納するリアルプロファイルと、フィルタだけを登録するシャドウプロファイル（データ自体はAll Sourceを参照）がございます。
前者の場合はストレージを消費しますので、All Source等に割り当てられるストレージ容量は少なくなります。

FlowmonProbeがあることが一つです。
これにより、一部L7情報を解析可能（HTTPホスト名や遅延値）となります。
また、SNMPやパケットキャプチャと比較すると、詳細データを長期保存して過去に遡って解析可能です。

プローブにつきましてはパフォーマンスとの兼ね合いから非常に高い割合で物理アプライアンスにてご検討・採用いただいております。

また、コレクタにつきましても監視対象のFlow（トラフィック）量次第とはなりますが、プローブ同様にパフォーマンスの観点、手離れの良さから物理アプライアンスにてご提案いただくケースが多いのが実情と言えます。（物理70%：仮想30%程度）
障害発生時の切り分けに関しても、物理版に分があるといえるかと存じます。

Flowmonではデフォルトですと下記のポートが使える状態となっております。
一般的にNetFlowやsFlowは下記のポートでやり取りされるますので、別のポートを使われる場合はご注意ください。

Probeからのフロー →3000
NetFlow →2055もしくは9996
sFlow →6343
※全てUDPです

例えば閾値を100Mbpsとし、条件を2回とすると、2回閾値を超えた場合にアラートが発行されます。

サイクルはアラートを抑制する間隔になります。
条件2回（2回閾値を超える）を1セットとし、サイクルが0（ゼロ）であれば条件を満たすごとに発行され、サイクルが1であれば、発行→抑制→発行というサイクルになります。

処理能力がオンプレ版の方が高く、より快適な操作が可能となっております。
一方、仮想版には2ポート分のモニタリングポート機能があり、パケットを受信して自身でフローに変換することが可能です。

プロファイルの粒度によって異なります。
30秒/1分プロファイルの場合は1分毎での閾値判定、5分プロファイルは5分単位で閾値判定となります。

1台のコレクタで管理1、管理2のインターフェースを使ってフローを収集する方法があります。
A系とB系のフローを統合して見ることも出来ますし、別々に見ることも出来ます。
また、権限の設定で、AのアカウントはA系のデータのみ、BのアカウントはB系のデータのみを閲覧させるといったこともできます。

コレクタの分散時に、一元管理するためのマスターユニットというアプライアンスがございます。
2台のコレクタに加え、マスターユニットを入れていただくことでA系、B系のフローをまとめて見ることができます。
実際のフローデータは各コレクタに保存され、そこからマネージメントデータをマスターユニットに送ることで統合管理するというものです。

Flowmonのライセンス形態はストレージ容量となりますので、監視ノード数の制限等はございません。

Flowmonでは4つのAS番号を識別可能です。
・IPアドレスを基にASを判断
送信元/宛先AS：送信元/宛先IPアドレスの情報を基に、データベース内に保持しているASリストと突合し、AS番号を出力します。
AS番号はIANAでグローバルIPとともに管理されている為、グローバルIPに紐づいたグローバルAS番号が定義されています。
Flowmon内部ではリストを持っている為、すべてのグローバルIPに応じた一意のAS番号が割り当てられている認識です。リストの更新間隔はバージョンアップ毎になります。

・Flow情報内のAS番号基に判断
プリビアス/NextAS：ルータが生成するFlow情報にAS番号を付与します。Flow生成ルータの前後のAS情報を出力可能です。
ネットワーク機器がFlowを生成する際、IPアドレスやポート番号と同様に、AS番号も生成可能です。
その際、ルータの前後（プリビアス/Next）のAS番号をFlow情報に付与します。
Flowmonでは生成されたフローにおける前後のAS番号を表示可能です。
なお、AS番号についてはFlowmon内部で企業名とのリストを持っており名前解決を行い出力することが可能です。

SNMP監視サーバとSyslogサーバ、Flowmonは用途が異なるため、置き換えではなく併用となります。
Syslog監視機能はFlowmonにはございません。
SNMP監視ツールはトラフィックの流量の監視、具体的にどんなトラフィック多く流れたのかを可視化するのがFlowによるトラフィック監視となります。

マルチテナント機能は、FlowmonOSv11.00で実装された新機能となります。
マルチテナント機能により、テナント単位で分離されたユーザアクセス環境を構築できます。
テナント毎に管理者を作成し、テナント内でユーザと役割を管理します。
テナント管理者は、テナントの定義に従って、使用するフローソースやプロファイルをユーザーにを割り当てることができます。
デフォルトでは、現在の権限がすべてベーステナントで定義されています。
従来のユーザ、および役割（権限）は、デフォルトの単一テナントモード（ベーステナント）を使用することでそのまま引き継ぐことができます。

プローブのモニタリングポートの回線帯域であれば、1/10/40/100Gbpsに対応しております。
コレクタの管理ポート（Webアクセス/Flow受信用）はデフォルトでは1Gですが、10Gオプションがございます。

Flowmonでは特に設定変更をする必要はございませんが、ネットワーク機器を用いてFlowを生成している場合は、リプレース後にネットワーク機器のFlow生成の設定を再度入れて頂く必要がございます。

解析結果のエクスポート機能はコレクタの機能となりますので可能です。
また、プローブにもミニコレクタの機能があるので、プローブにおいても可能です。

拠点のトラフィックがDCに集約されている場合には、DCのトラフィックを取得いただくことで拠点単位での可視化が可能です。
ローカルブレイクアウトを行っている場合には、拠点単位でFlow生成を行う必要があります。

明確な制限はございませんが、弊社実績といたしましては800台ほどの実績がございます。

拠点のトラフィックがDCに集約されている場合には、DCでトラフィックを取得いただくことで拠点単位での可視化が可能です。
集約ポイントがない場合には、各拠点のNW機器でFlow生成を行か、Probeを設置いただく必要がございます。

Probeはモニタリングポートの数に応じていくつかのモデルがありますので1台で問題ありません。
また、ミラーポート毎のトラフィックは区別してFlow化されますので、それぞれの回線を区別して解析可能です。

出来ません。
Flowmonのグラフ描画はFlowを受信したタイミングで描画される仕様の為、実際にトラフィックが流れた時刻とグラフ描画の時刻が異なることが想定されます。

トラフィック量の減少、フローが飛んでこないなどの要素であれば判断可能です。
しかしコレクタにFlowを送っているか、トラフィックをProbeに送っている機器の検出のみとなります。

可能です。
コレクタのみの場合、フロー生成を行う必要があるため、NW機器がFlow生成可である必要となります。
プローブのみ場合、物理版プローブのビルトインコレクタを使用することで、Flow生成およびFlow分析が可能です。

機能に差異はございません。
ただしビルドインコレクタは１TBのみでのご提供、他のNW機器が生成したFlow情報を取得できない制限があります。

自動的にではございません。
アップデートされたら通知が届き、その後手動で更新する必要があります。

下記設定内容のご確認をお願いします。
全ての設定内容に問題がないにもかかわらず取得及び表示ができない場合、弊社サポートへお問い合わせください。
＃クラウドプロキシを使用されている場合はプロキシサーバより先のHTTPホスト名情報を取得することが出来ません。
■リクエストは取得できるが、戻りの通信で取得できない場合
　・単一のモニタリングポートで両方向（IN/OUT）のミラートラフィックを受信しているか
　・Configuration Center>モニタリングポート>グローバル設定>高度な設定において「有効化されたL2フィールドをNetFlow IDに追加する」を無効にする
　 ホスト名はリクエスト通信にのみ含まれる為、戻りの通信のホスト名はFlowmonでFlowをペアリングし表示しています。
　 その為、両方向のトラフィックをセットでFlowmonが処理する必要があります。

■生成/取得がされていない場合
　・Configuration Center>モニタリングポート>グローバル設定>高度な設定において「IPFIXレコードのオプションのL7値」の「HTTP」項目にチェックを入れる
　・Configuration Center>FMC設定>フローのデータフィールド画面にある「Flowmon独自フィールド(IPFIX)」の「HTTPフィールド」にチェックを入れる

下記設定内容のご確認をお願いします。
全ての設定内容に問題がないにもかかわらず取得及び表示ができない場合、弊社サポートへお問い合わせください。
#「COAP」、「SMB」、「VOIP」、「DHCP」、「MYSQL」、「PGSQL」、「MSSQL」のトラフィックでは取得不可となります。
■リクエストは取得できるが、戻りの通信で取得できない場合
・単一のモニタリングポートで両方向（IN/OUT）のミラートラフィックを受信しているか
・Configuration Center>モニタリングポート>グローバル設定>高度な設定において「有効化されたL2フィールドをNetFlow IDに追加する」を無効にする

■生成/取得がされていない場合
・Configuration Center>モニタリングポート>グローバル設定>高度な設定において「NETFLOWレコードのオプションのL3/L4値」の「NPM」及び「拡張NPM」項目にチェックを入れる
・Configuration Center>FMC設定>フローのデータフィールド画面にある「Flowmon独自フィールド(IPFIX)」の「ネットワークパフォーマンスメトリックフィールド」にチェックを入れる

Flowmonでは、Flowデータのサマリは行いませんが、統計や履歴としてレポートを作成可能です。
レポートはトラフィック量グラフや統計基準に応じたTOPNを出力できます。
Flowデータとレポートデータのストレージ割り当ては別々に行うことが可能です。

ストレージ割り当ては別々に可能ですが、レポートデータはあくまで統計情報となり、詳細解析はできません。
レポートはDB処理となり、Flowデータに比べディスク使用量は少ない傾向にあるため、
コレクタのディスク消費量削減にはつながりません。

解析グラフ：フローを受信した時間でグラフ描画します。
時系列グラフ：パケットに含まれる時間で描画します。

L7情報を可視化するためには、FlowmonプローブでFlow生成する必要があります。
コレクタはFlow収集機の為、プローブで生成したFlowを受信している場合には解析可、その他NW機器でFlow生成した場合には解析不可となります。

Configuration Center>リソースマネージャー>クォーターの管理にて「ディスクの使用状況」が90%を超えないようにご調整をお願いしております。
※空き容量（Free）の10%はFlowmonの各種作業領域に使用します。

「ディスクの使用状況」が100%になった場合、Flowmonの作業領域不足のため以下のような不具合が発生する可能性がございます。

・Flowmonの動作が不安定になる
・Flowmonにアクセスできなくなる

ディスクがいっぱいなることを防ぐため、
ver11以降では、自動クォータのチェック・調整の機能が実装されております。
自動クォータ調整機能により使用量が最も多いプロファイルのクォータが小さくなり、
保存できる容量を下げることによって古いデータから削除されます。

また、空き容量（Free）が10%以下になるとFlowmon画面右上のベルマークに以下のようなシステムメッセージが表示されます。

・システムがディスクの使用状況を削減することができません。ディスクが間もなくいっぱいになります。
・ディスククォータが超過しています(超過:xxG)。ディスクスペースを節約するために現在のクォータが削減されました。[クォータの管理]を確認してください。

次の項目はFlowmonの設定ファイルにエクスポートされませんので、復旧することができません。
設定ファイルから復元する際には手動での対応を行う必要があります。

・カスタムsnmpd
　Configuration center>システム>システム設定>SNMP>SNMPD.CONFの編集

・ヘッダー内のロゴ
　Configuration Center>FMC設定>レポート>ブランディング

・カスタムASlist
　Flowmonコレクタ：Configuration Center>FMC設定>AS>カスタム AS
　Flowmonプローブ：Configuration Center>モニタリングポート>グローバル設定/各ポート設定>高度な設定>カスタムAS

コンソール (SSH) で実行できるスクリプトはすべて、FMC（レポート）でも使用できます。（PHPやC言語など） 特定の言語が使用可能かどうかは、SSHで確認してください。

パスワードは4文字以上54文字以内です。禁止文字はありません。
54文字より多く入れると、54文字に省略されます。

Monitoring Center>アラートにて、特定のプロファイルにアラートを設定している場合、 グループ変更のプルダウンがグレーアウトします。

FMC設定>リスニングポートに登録がされていれば、問題ございません。

以前のバージョンでは、追加されたリスニングポートがリモートアクセス>アクティブなファイアウォールルールの許可設定にて自動的に追加されておりましたが、現在は仕様が変更されています。

リスニングポートを削除/追加した際はnfsenが再起動されます。 nfsenとはプロファイルの作成及びビルトインコレクタのプロセスを監視するものです。 nfsenの再起動により、一時的にフロー収集が停止する可能性がございます。 なお、リスニングポートにフローが流れ始めたタイミングではnfsenは再起動されません。

損失したパケットが受信しているパケットの5%以上になると、リスニングポートの状態が黄色い警告マークで表示されます。

CPUとメモリの構成変更は可能です。
ただし、ストレージについては現在使用しているハードディスクをそのまま拡張することはできません。
新しいハードディスクを追加し、Flowmon上で付け替えてください。
VMの構成の変更方法については、VMware社にお問い合わせください。

仮想版アプライアンスでストレージの拡張はできません。ストレージを新規作成しなおす必要があります。作り直したストレージは「Configuration Center」＞「システム」＞「データストレージ」の内部ストレージから作り直したハードディスクを選択し直し、再起動することで拡張できます。なお、再起動時に古いハードディスクの内容を新しく選択したハードディスクにコピーしてから起動されるため、データ量によって起動までに長時間を要します。
起動されるまでの間、新しいフローデータの受信は止まりますのでご注意ください。

ストレージを新規作成しなおす必要があります。
クォータの管理で使用しているサイズを縮小後、作り直したストレージを「Configuration Center」＞「システム」＞「データストレージ」の内部ストレージから作り直したハードディスクを選択し直し、再起動することで縮小できます。なお、再起動時に古いハードディスクの内容を新しく選択したハードディスクにコピーしてから起動されるため、データ量によって起動までに長時間を要します。
起動されるまでの間、新しいフローデータの受信は止まりますのでご注意ください。

仮想化基盤の機能を使用して直接ストレージ拡張を行った場合、Flowmonには反映されません。

Configuration Center > 概要 よりデータディスクの使用状況の合計サイズが約40GBで表示され、Configuration Center > システム > データストレージ > 内部ストレージ に40GBのストレージが存在せずに、認識されない大きなストレージが存在する場合は、仮想化基盤側でFlowmonが利用中のストレージを直接拡張した可能性が高いです。

Flowmonでは仮想化基盤 の機能を使用してデータストレージ（内部ストレージ）を拡張する動作は保証しておりません。
最悪の場合、データを損失する恐れがあるため手順書通りに新しいストレージと付け替える方法で拡張を行ってください。

なお、仮想化基盤の機能を使用して直接拡張を行った場合はアプライアンスログを取得し、開発元にて修正できるか否かを確認する必要が有ります。（修正が可能な場合は修正用のパッケージが提供されますが、別用途に再利用はしないでください。都度確認が必要となります）

CPUが変わっても、その変更が仮想基盤自体に影響を与えない場合、Flowmonにも影響はありません。

ただし、仮想マシンをあるプラットフォームから別のプラットフォームに移行する場合は、FlowmonのHWIDが変更される可能性があります。
FlowmonのライセンスはHWIDに紐づいていますのでHWIDが変わりますと、新しいHWID用のライセンスを再発行するまでFlowmonを利用できなくなります。

open-vm-toolsとは、VMware Tools の Linux ゲスト OS 用オープン ソースとして実装されたものであり、仮想マシンを最適化するためのツールです。
詳しくは以下のVMware社の情報を参照してください。
https://docs.vmware.com/jp/VMware-Tools/11.3.0/com.vmware.vsphere.vmwaretools.doc/GUID-28C39A00-743B-4222-B697-6632E94A8E72.html
https://docs.vmware.com/jp/VMware-Tools/11.3.0/com.vmware.vsphere.vmwaretools.doc/GUID-C48E1F14-240D-4DD1-8D4C-25B6EBE4BB0F.html

FlowmonのベースOSはLinuxであり、VMWare上にインストールしますと、open-vm-toolsもインストールされます。

Flowmonをデプロイした直後には重くなる場合もありますので、その原因でシステム負荷の値が100%となる可能性があります。

Hyper-V上にlowmonをデプロイすると、CPUはデフォルトでは1個のみ割り当てられます。
デフォルトのままで使用されている場合、システム負荷の値が100%となります。
Flowmon仮想アプライアンスをデプロイする時は各モデルの最小構成に従って各リソースをHyper-Vから割り当てる必要があります。
最小構成はスペックシートを確認してください。

・シックプロビジョニング
　指定した容量の領域サイズを確保します。
　仮想ディスク作成時に指定した容量の領域サイズを確保しています。
　よって、シックプロビジョニングはパフォーマンスが高いです。

・シンプロビジョニング
　仮想ディスク作成時には最低限の領域のみ確保し、必要に応じて増加します。
　よって、シンプロビジョニングはシックプロビジョニングよりのパフォーマンスは低いです。

　※パフォーマンスの具体的な違いについてはVmwareのサポートにご確認をお願いいたします。

現在のHyper-Vの仮想アプライアンステンプレートには既にHyper-Vのツールが含まれておりますので開発元の検証環境では正常に動作しました。（商用環境での検証は行っておりません。） ボリュームシャドウコピーを実施する際にはデータの破損を避けるため、Flowmonの電源を切った状態で実施することを推奨いたします。

開発元が検証をしたところ、チェックポイントありの仮想HDDからチェックポイントなしの仮想HDDへの移行は成功しました。
また、移行後にチェックポイントを適用するとFlowmonは元のディスクを使用する事となります。

Nutanixは公式にサポートされているプラットフォームではありません。
Nutanix環境でFOSが動作するかどうかは確認できていません。

仮想アプライアンス版もご用意がありますので、VM上で構築することが可能です。
注意点として、機能の差分はありませんが、性能面では物理版に比べて総じて低い性能となります。
Flow情報は通常のトラフィックと同様に転送されますので、VM上に構築したFlowmonに対してコアスイッチから疎通が取れる状態であれば問題はありません。

原則として保守契約後、5年間です。
保守契約時に6年保守などをご契約いただいた場合はその年数となります。

お客様の立ち合いが必要です。
交換用パーツは事前に運送業者によって配送されます。また、障害パーツは作業後に運送業者が回収を行います。
エンジニアによるパーツの持ち込み／持ち帰りは行っておりませんのでパーツの受け取り／受け渡しはお客様にてお願いします。

弊社にてFlowmonについてのお問い合わせ対応をいたします。
平日9時～17時内でメールでの障害対応や、技術サポート、アップデートなどへのサポートをいたします。
HWについては、翌営業日オンサイト対応や部品交換を、HW保守ベンダに委託しております。
また、Flowmonの開発元はチェコに拠点がありますがGUIやユーザガイドは日本語化しておりますので、安心してご使用いただけます。

パートナー制度を用いてFlowonをご提供しておりまして、価格もオープンプライスとなっています。
御見積につきましては、パートナー様経由でご提供しておりますので、弊社HPに掲載しているパートナー会社様一覧をご確認ください。
当方宛てにパートナー会社様をご連絡いただければ、ご希望に沿って対応させていただきます。

初年度は必須です。
アプライアンスは買い切りの為動作に影響はありませんが、保守サポート窓口のご利用、バージョンアップはできなくなります。
9割以上のお客様は継続して保守サポートをご契約いただいております。

1.アプライアンスとして販売しておりまして、本体費用と年間保守費用が必要になります。
これは物理アプライアンスと仮想アプライアンスのどちらも同じです。

2.導入作業の役務としてご用意がございます。
導入やエンドユーザ様への提案をご検討でしたら、まずは弊社営業までご相談ください。

パートナー制度を用いてFlowonをご提供しておりますので、弊社より直接販売は行っておりません。
御見積につきましては、パートナー様経由でご提供しておりますので、弊社HPに掲載しているパートナー会社様一覧をご確認ください。

解析はできますが、グラフと解析結果に正規時刻とのずれが生じてしまい、より正確な解析はできなくなってしまいます 。そのため、時刻同期設定を必須とさせていただいております。

Flowmonは手動で時刻を設定／修正することはできません。
ネットワークの可視化という製品の都合上、正確な時刻を必要としますので、NTPサーバと同期する必要があります。

FlowmonのOSで動作しているプロセスで監視しておくべき項目につきましては、お客様のご利用方法にて異なりますが、主要な項目については以下になります。

nfdump：クエリの計算、チャプタの計算プロセス
nfprofile：プロファイルの作成プロセス
folwmon-main：エクスポーター（モニタリングポート）プロセス
nfcapd-streamd：ビルトインコレクタのプロセス
suricata-main：suricataプラグインプロセス

CLIにてストレージ容量を監視する場合はLinuxコマンドのdfを使用します。

Flowmonの監視を行う場合は以下のようにrootディレクトリ（OSのルートパーティション）と/var（フローデータを含むデータパーティション）を監視してください。
閾値はどちらもUse%が90%以下（10%の空きを確保）を推奨します。

df /
df /var

FlowmonではCentOSをベースとしているため、一般的なLinuxサーバの監視と同じ方法でCPUとメモリを監視することができます。

以下のMIBを参照してください。

・UCD-SNMP-MIB     CPU、メモリ関連
・HOST-RESOURCES-MIB    ディスク関連

次に"CPU使用率(システム負荷)"及び"メモリ使用率"につきましては以下OIDをご利用ください。

■CPU使用率
・hrProcessorLoad 論理プロセッサ毎の直近1分間のCPU使用率(%) OID: .1.3.6.1.2.1.25.3.3.1.2
 CPU使用率(%) = (各論理プロセッサのCPU使用率の合計) / 倫理プロセッサ数

■メモリ使用率
・memTotalReal 搭載実メモリの総容量（Kbyte） OID： .1.3.6.1.4.1.2021.4.5
・memAvailReal 空き実メモリ容量（Kbyte） OID： .1.3.6.1.4.1.2021.4.6
・memBuffer バッファメモリ総容量（Kbyte） OID： .1.3.6.1.4.1.2021.4.14
・memCached キャッシュメモリ総容量（Kbyte） OID： .1.3.6.1.4.1.2021.4.15

なお、メモリ使用率は、以下の計算式で求める必要があります。

メモリ使用量 ＝ (memTotalReal) - (memAvailReal) - (memBuffer) - (memCached) OID： (.1.3.6.1.4.1.2021.4.5.0) - (.1.3.6.1.4.1.2021.4.6.0) - (.1.3.6.1.4.1.2021.4.14.0) - (.1.3.6.1.4.1.2021.4.15.0)

メモリ使用率[％] ＝ メモリ使用量 / memTotalReal (メモリの総容量) × 100

Flowmonに異常は無いと考えられます。
notRunnable(3) とは"プロセスがロードされているがイベント待ち"の状態を意味します。
このようなステータスが発生した際にもFlowmon自体に異常を示すログが記録されていたことはありません。そのため、正常動作の過程で発生するものと想定されます。
なお、PostgreSQL、Apache及びCentOSなどはFlowmon社で独自開発しているソフトウェアではないため、「notRunnable(3)」になる詳細な条件は開発元でも分かりかねます。

FlowmonはCentOSに基づいているため、任意のOIDを使用できます。
ただし、FlowmonとしてサポートされているSNMPオブジェクト以外のOID値の意味や発生するタイミング等についてのサポートは出来かねます。
FlowmonでサポートしているSNMPオブジェクトは以下をご確認ください。

https://support.kemptechnologies.com/hc/en-us/articles/4406088157581-Flowmon-SNMP-MIBs

これらのサービスのステータスを読み取るのには時間がかかる為、Flowmonの負荷状況によってはOIDへの応答が遅くなり、タイムアウトが発生することがありますがFlowmonには何の問題もありません。

なお、各プロセスの意味と正常性の確認方法は以下のとおりです。

・nfsen
プロファイルの作成とビルトインコレクタのプロセスを監視するものですので、
Flowmonにてプロファイルの作成及びフローの受信が確認出来るようであれば正常と判断して問題ありません。

・flowmonexp
フローのエクスポート（モニタリングポート）を監視するものですので、
Flowmonでフローを生成できている様であれば、正常と判断して問題ありません。
もしFlowmonでフローの生成機能を使用していない場合は利用されませんので無視していただいて問題ありません。

FlowmonへのアクセスログをGUI画面で見る場合は、Configration　Center>ログ>「ユーザアクティビティログ」にて参照が可能です。
アクションタイプで「ログイン」を選択するとログイン履歴のみを表示することができます。

Apacheのアクセスログ「ssl_access_log」、「ssl_request_log」を確認したい場合は以下の方法でアプライアンスログを取得して確認してください。
Configuration Center>システム>システム設定>メンテナンス にて、アプライアンスログを「暗号化しないでダウンロード」し、ダウンロードしたアプライアンスログを解凍すると、/logs/log/配下に各種ログが保存されています。

なお、SSHにログインしてアクセスログを直接確認するにはroot権限が必要になりますので、操作はできかねます。

Flowmonにはzabbixエージェントが組み込まれています。
以下は弊社の環境でzabbixエージェントのバージョンを確認した結果です。

[flowmon@localhost ~]$ /usr/sbin/zabbix_agentd -V
zabbix_agentd (daemon) (Zabbix) 3.0.3
Revision 60173 18 May 2016, compilation time: May 23 2016 09:02:47
以下省略

CSVレポートは、約半年まで5分の粒度で作成されます。

レポート/解析期間設定ごとのグラフ粒度は以下のとおりです。

～8時間
  
  

グラフ粒度:30秒平均（※プロファイルで30秒粒度を設定時のみ）

最大ビット/秒:30秒平均の最大値

～16時間
  
  

グラフ粒度:1分平均（※プロファイルで1分粒度を設定時のみ）

最大ビット/秒:1分平均の最大値

～100時間
  
  

グラフ粒度:5分平均

最大ビット/秒:5分平均の最大値

～15日と8時間（368時間）
  
  

グラフ粒度:30分平均

最大ビット/秒:5分平均の最大値

～110日と17時間（2657時間）
  
  

グラフ粒度:120分平均

最大ビット/秒:5分平均の最大値

180日と00:00以上
  
  

グラフ粒度:24時間

最大ビット/秒:5分平均の最大値

Flowmonにおけるグラフ描画の既定値は5分単位でございますが、「プロファイル」の設定次第で、30秒粒度、1分粒度のグラフ描画を行うことが可能です。

グラフの粒度は5分平均、1分平均、30秒平均で表示可能です。これはプロファイルの設定に依存します。
また、選択期間によって表示される粒度は異なります。
(詳しい仕様につきましては弊社営業へご相談ください)

5分平均となります。

親プロファイルの粒度よりも子プロファイルの粒度が同じか小さければ問題ございません。
親プロファイルより大きい粒度の子プロファイルは不可となります。

FlowmonがDNSに問い合わせして名前解決をした結果です。
ドメイン名解決を止めたい場合は、以下の対応をお願いします。
「Configuration Center」＞「ユーザ設定」＞ドメイン名解決を止めたいユーザを「編集」＞「ドメイン名解決」のチェックを外す。

ユーザに割り当てられている役割によって異なります。
フィルタの共有自体は、FMCの権限を持っていれば可能です。
全てのプロファイル・ソースに対して、保存したフィルタを利用したい場合には、「フルアクセス」権限が必要です。
権限が「フルアクセス」でない場合は、割り当てられたプロファイル及び割り当てられたソースのみ、保存したフィルタを利用可能です。

送信元の端末のIPアドレスは、「Flowmon Monitoring Center」の「解析」で確認できます。

「解析」よりそれぞれの該当ソースプロファイルを選び、「高度な解析」から下記条件で解析してください。

解析期間

「任意の期間」

統計基準

「送信元のIPアドレス」

フィルタ

src port ＜送信元ポート番号＞又は dst port ＜宛先ポート番号＞
※「ポート番号」を複数選択する場合は、「and」又は「or」で連結できます。

特定期間内の最大値を確認するには、レポート機能をご利用ください。
表内の最大ビット数がレートの最大値となります。解析機能で最大値を確認する場合には期間を設定いただき、表示されたグラフにマウスオーバーしていただくと詳細なレートが確認できます。一番突出しているグラフのレートが最大値となります。

Flowmonのトラフィックグラフは送られてきたFlowを基に生成しています。
ネットワーク機器側のFlow生成の設定が他のシステムと同等のトラフィックの情報を生成する設定となっているかご確認ください。
また、サンプリングを行っている場合は、機器側のサンプリングの設定が正しいかご確認ください。Flowmon側でサンプリング値を固定で設定している場合は、機器のサンプリング値と同じ値を設定がされているかご確認ください。

はい。FQDNを確認するためにはFlowmonプローブを用いてL7レベルのフローを生成する必要があります。
なお、Cisco社の製品を使用している場合は、AVC機能を有効にすることにより、FQDNを取得することが可能です。設定方法の詳細についてはネットワーク機器ベンダーにご確認ください。

ポート番号やIPアドレス等はユーザ毎に名前解決をする項目を指定することができます。

• (1) Flowmonの右上に表示されているログインユーザ名をクリックして表示されるメニューから「ユーザ設定」を選択し、該当ユーザの編集画面を開きます。
• (2)「+解決」をクリックします。
• (3)「ポート名解決」のチェックを外して「保存」します。

フロー数とセッション数は同じではありませんが、似た傾向にありますので、フロー数が多い場合はセッション数が多いと考えられます。
フローは送信元ポート番号、送信先ポート番号、送信元IPアドレス、送信先IPアドレス等の属性が同じ場合に１つのフローとして生成されます。
TCPの場合は行きと戻りの通信があるため、1回の通信で2フロー生成されます。但し、フローはアクティブタイムアウトとして設定された時間を超えると強制的にフローとして生成されますので、大きなファイルのダウンロードなど時間の掛かる通信ではフロー数は実際のセッション数よりも多くなる傾向があります。

フィルタに「or」を使って同じ構文を繋げると検索等の処理に負荷が掛かり、時間が掛かります。
以下のように「in」を使用した書き方をすると検索時の負荷が軽減されるため、検索時間／CPU負荷の改善が見込まれます。
なお、本書き方はFlowmonOS v10.01以降よりご利用できます。

【検索効率の悪い書き方の例】
src net 192.168.1.0/24 or src net 192.168.10.0/24 or src net 192.168.15.0/24 or src net 192.168.30.0/24

【検索効率の良い書き方の例】
src net in [ 192.168.1.0/24 192.168.10.0/24 192.168.15.0/24 192.168.30.0/24 ]

フローソースが以下のNetFlow v9フィールドを使用してポート番号を送信している場合、現在のFlowmonではそれらのフィールドをサポートしていない為、ポート番号を表示できません。

182 tcpSourcePort
183 tcpDestinationPort

Flowmonは、以下の標準フィールドをサポートしていますので、恐れ入りますがフローソース側の設定変更をご検討ください。

7 NF9_L4_SRC_PORT
11 NF9_L4_DST_PORT

グラフ上でグレーに表示されている部分はストレージの空き容量又はクォータで設定された上限に達したためにFlowデータが削除されていることを示しています。そのため、グレーで表示されている期間は解析をすることができません。

Cisco ASAはNSELを使用してフローを送信しています。
NSELはFWのログを送信することを主目的としているため、通常のフローを送信する仕組みとは以下のような点が異なっており、他の方式と比べて正確にトラフィック量等を表示することが難しい規格です。

1. １つのフローで入出力バイトとパケットを送信しています。
   次のようにFlowmonの設定を変更することで改善が見込めますが、通常のフローと同じようには表示できません。
   「Configuration Center」＞「FMC設定」＞「フローのデータベースフィールド」　 NETFLOW V9フィールドより以下の4つをチェックします。
   
   　・出力バイトのカウンタ
   　・集約フローのカウンタ
   　・NEL共通ブロック
   　・NEL変換IPv4/IPv6アドレス
   
   
2. フローの送信タイミングはFWのログを送る時です。通常のフローは通信が終了した時、アクティブタイムアウト（5分などFlowmonの線画間隔に設定されます）を経過した時などに送られてきます。この違いにより、グラフに偏りが発生します。

解析画面の上部のグラフと高度な解析の時系列グラフは表記に利用するタイムスタンプが異なるため、縦軸が異なる場合が有ります。

解析画面の上部のグラフはフローを受信したFlowmonの受信時間で表記しています。
高度な解析の時系列グラフは受信したフロー内のタイムスタンプ（ネットワーク機器等のフロー作成装置がフローデータを受信した時間）に基づいて表記しています。

レポートで使用するタイムスタンプと解析で利用するタイムスタンプが異なるため、バイト数が異なる場合が有ります。

レポートで使用するタイムスタンプはフローを受信したFlowmonの受信時間を利用します。
解析で利用するタイムスタンプは受信したフロー内のタイムスタンプ（ネットワーク機器等のフロー作成装置がフローデータを受信した時間）を利用しています。

IPv6のトラフィックが流れている場合はフローソース側のNetflowでIPv6用の設定がされているかをご確認ください。
IPv6プロトコルはIPv4プトコルとは別に設定する必要がございます。
設定が無い場合、回線に流れているIPv6のトラフィックがNetflowに反映されず、トラフィックが減少してしまいます。

SNMPとNetFlowでは以下のような差があります。
NetflowはIPおよびIPペイロードをカウントしており、パケットに含まれるMacPreamble 8Byte、MAC address 12Byte、Type 2 Bytes、Frame CheckSequence 4Byte の 合計26Byte がFlowに変換した際に除かれます。
従って 1パケットにつき26バイトの差が発生します。
ショートパケットが多い環境ではSNMPとNetFlowのグラフは差が開く傾向にあります。

ユニキャスト単位にフィルタを掛けることは出来ません。

「双方向」のチェックを行いますと、IPアドレス以外にもポート番号等が行きと帰りで全て一致している場合に、1行に集計して表示されます。
行きと帰りでポート番号等に不一致がある場合、別々に集計されるため、複数行で表示されます。
また行きの通信に一致する帰りの通信が無い場合は、「0」として表示されます。
その為、「双方向」をチェックした場合と、しない場合とで表示が異なります。

bpsは 1秒間に流れたビット数を表したものですので、以下の計算式によって求められます。

bps = Byte × 8 ÷ 期間

期間（Duration）が0の場合は0で除算をすることはできませんのでbpsも0として表示されます。

なお、期間は以下の式で計算されます。
期間 = Date last seen - Date first seen

bpsは 1秒間に流れたビット数を表したものですので、以下の計算式によって求められます。

bps = Byte × 8 ÷ 期間

よって、Byte数が小さくても期間（Duration）が0.5秒などのように短時間の通信であった場合にはbpsは大きくなります。

All portsはフロー送信元の機器全体としてお考えいただくと分かり易いかと思います。

eth1のインターフェース（チャネル）から1MBの通信が入力され、eth2のチャネルから出力されるスイッチの例で説明します。
一つフローにはインプットインターフェース（eth1）およびアウトプットインターフェース（eth2）が含まれています。
Flowmonはインターフェース単位に着信通信と発信通信を解析できるようにするため、以下のようにトラフィックをカウントします。従って、１MBの通信（All ports）はinおよびoutで別々にカウントされ、合計すると２倍となります。

　eth1のinに1MBをカウント
　eth2のoutに1MBをカウント
　機器全体としてのAll portsに1MBをカウント

この結果として All portsのトラフィック量　＜　各ポートのトラフィック量の合計 となります。

なお、フロー送信元にてフローをeth1のin方向のみで作成する設定をしていたとしても、フローにはeth2に出力したことが記録されていますので、上記のようなカウントをすることができます。

ネットワーク機器で生成されたフローには再送処理が記録されていないため、通常は再送処理が無い通信と同様の動作となります。
Flowmonプローブで生成したフローの場合はAVG RTR（再送の平均）を解析し表示することができます。

再送処理の解析が必要な場合はFlowmonプローブのNPM（ネットワークパフォーマンスモニタ）機能を使用してフローを生成してください。

【参考：フロー生成のルール】
原則として宛先情報（ポート番号、IPアドレス等）と受信情報が変わらないため、
再送処理があった場合でもフローは１つとして生成されます。

アクティブタイムアウトが設定されている場合には、再送処理に関わらず、アクティブタイムアウトのタイミングでフローが分割されます。
ACKが返らず、RSTもFINも無い場合はインアクティブタイムアウトに設定した時間が経過したときフローが生成されます。

hhostを使用する場合は行きと戻りの通信のMACアドレスが一致している必要が有ります。
HSRP等を使用したネットワーク構成では行きと戻りの通信でMACアドレスの不一致が発生します。
このような環境でhhostを使用する場合はMACアドレスの使用を無効にする以下の設定が必要になります。

Flowmon Configuration Center＞モニタリングポート＞
 グローバル設定：高度な設定タブ
  「NetFlowレコードに対し有効化されたL2値をキーフィールドに追加」を無効にする。

（注意）

• 本設定をしますとMACアドレスを使用した解析はできなくなりますので、どちらの情報を優先されたいかを判断の上、設定してください。
• 行きと戻りのMACアドレスが異なり、且つ上記MACアドレスが有効になっている場合は、片方の通信（クライアント⇒ホストの通信）のみにhhost（HTTPホスト名）が表示されます。

HTTPホスト名は以下の条件によって長い文字列は31文字に切り捨てられる仕様です。

SNIフローのフィールドは64バイトです。このフィールドにはNull文字で終端させる必要があるため、実際に格納できるサイズは63バイトになります。
溢れた文字は後ろの文字列から切り捨てられます。（本来はホスト名と同様に先頭の文字列から切り捨てるべきのため、将来修正される予定です。）

ホスト名のフローフィールドの長さは32バイトで、同様にNull文字で終端させる必要があるため、実際に格納できるサイズは31バイトになります。
溢れた文字は先頭の文字列から切り捨てられます。

以下の69バイトのホスト名を例に実際に切り捨てられる流れを説明します。
internal-abcdefgh-ijklmnop-123456789.ap-southeast-1.elb.amazonaws.com

1. ホスト名は最初にSNIフローフィールドに保存されるため、以下のように後ろの文字が切り捨てられ、63バイトになります。
   internal-abcdefgh-ijklmnop-123456789.ap-southeast-1.elb.amazona
2. 更にSNIフローフィールドからホスト名のフィールドにコピーされるときに先頭の文字列から切り捨てられて31バイトになるため、最終的には以下のようになります。
   6789.ap-southeast-1.elb.amazona

Flowを送ってくるネットワーク機器とFlowmonの時刻が有っていない可能性が考えられます。
NTPサーバを使用してネットワーク機器とFlowmonが同じ時刻を共有しているか確認してください。

親プロファイルの参照権限を持っていないユーザで解析対象のプロファイルがクォータの上限に達し、既にデータが削除されている期間（グラフがグレーで表示されている期間）を解析すると解析結果を表示することができません。

プロファイルのデータが削除されている場合、親プロファイル（一般的にはALL Sources）がデータを持っている場合は親プロファイルのデータを参照して古いデータの解析結果を表示しています。

よって、対処法としましては、解析結果が表示されないユーザに親プロファイルを参照する権限を付与するか、 古いデータを保存できる期間分のクォータを確保し、解析したい日付からプロファイルを作り直してください。

期間は選択された範囲で最初に該当する通信が確認された時間から最後に該当する通信が確認された時間の差を示します。
※期間はFlow送信機器から送られてくるLast SwitchからFirst Switchの時間を引き算した値です。
よって、通信量が少ないなどの理由により、通信時間が短い場合、単一のパケットまたは最初の通信と最後の通信は同じ時間となり、期間が0秒になることが有ります。

高度な解析の時系列グラフは１分単位に計算をし直す機能ですので、
５分のプロファイルを使用する場合も、「時系列で表示」をする場合は１分間隔で表示されます。
※グラフは１分間の平均値で表示されます。
しかし、表示期間が１日や１週間等広くなると画面表示の都合で表示間隔は広くなります。

フィルタを指定することで対応できます。方法は2つあります。

１つは入力インターフェースの情報（GigabitEthernetx/xなど）を使う方法です。
１つはインターフェースのindex番号を使う方法です。

１．入力インターフェースの情報を使う方法。

Flowmonからネットワーク機器に対してSNMPを用いてインターフェースの情報を取得している場合には以下のような構文にてフィルタが可能です。

方向指定がない場合の例
sourceport "xxx.xxx.xxx.xxx (機器名)":" GigabitEthernetx/x"

方向を指定する場合
inの例：in sourceport "xxx.xxx.xxx.xxx (機器名)":"GigabitEthernetx/x"
outの例:out sourceport "xxx.xxx.xxx.xxx (機器名)":"GigabitEthernetx/x"

sourceport を記載後、スペースを入力することでリストよりソースを選択することが可能です。
さらにソースを選択後、スペースを入力することでインターフェースをリストより選択することが可能です。

２．インターフェースのindex番号を使う方法。

方向指定がない場合の例
router ip xxx.xxx.xxx.xxx and if <番号>

方向を指定する場合
inの例：router ip xxx.xxx.xxx.xxx and in if <番号>
outの例:router ip xxx.xxx.xxx.xxx and out if <番号>

xxx.xxx.xxx.xxxはフローを送ってくるネットワーク機器のIPアドレスです。

・index番号を確認する方法について

FlomownでSNMPを利用してインターフェースの情報を取得している場合には以下の手順でindex番号を確認出来ます。

Flowmon Monitoring Center>ソース>任意のソース（IPアドレス、機器名）>▼より展開した一覧の任意のポートに記載される白抜きの番号

Flowmonでインターフェースの情報を取得できない場合にはネットワーク機器側でindex番号を調べることができます。

index番号はネットワーク機器にて以下のコマンドを実行していただくことで確認が可能です。
結果から参照する番号はif index以降に続く番号です。

(Cisco社製品のコマンド例)
show snmp mib ifmib ifindex

結果の例：
GigabitEthernet2/0: Ifindex = 2

この場合のindex番号は2です。

フローソースの時刻とFlowmonの時刻がずれていると時系列のグラフを表示することができません。

解析結果の「開始時間 - 最終確認」列と実行ボタンの右端に表示されている解析範囲の時刻が合っていない場合、フローソースとFlowmonの時刻がずれている疑いが有ります。
高度な解析画面の時系列表示のグラフは、受信したフロー内のタイムスタンプ（ネットワーク機器等のフロー作成装置がフローデータを受信した時間）に基づいて表示しています。

このため、フローソースのタイムスタンプがFlowmonの選択した時間範囲を超えている。または満たない場合にはフローデータが破棄されるため、時系列のフラフが表示されなくなります。

Flowmonで解析を行う場合は必ずフローソースと時刻を合わせてください。

ICMPはセッションという概念が有りませんので、厳密にはICMPのセッション数/秒の統計情報を取得することできませんが、
ICMP通信のパケット情報である「Echo reply」と「Echo request」をセッションの開始と終了として扱うと、セッション数/秒に近い結果を取得することができます。

検索方法は以下の通りです。

・Monitoring Center＞解析＞高度な解析＞統計情報タブにて以下を設定してください。

　・「高度な解析」の右の期間設定欄にて、解析したい期間を入力する
　・トップ：表示させたい数を選択する
　・並べ替え基準：「パケット /秒」を選択する
　・統計基準：「IP通信」を選択する
　・集約：「双方向」にチェックを入れる
　・フィルタ：以下のフィルタ文を入力する
　　　　　　　icmp-type 0 or icmp-type 8
　　※「icmp-type 0」が「Echo reply」、「icmp-type 8」が「Echo request」を示します。
　・「実行」をクリックする

表示される結果テーブルの「パケット/秒」列にセッション数/秒に近い数値が表示されます。

v12.00.02 未満のFlowmonではIP解決キャッシュが無効化されていないため、解析結果からIPアドレスの「名前の変更」を行っても変更後の名前は即座には反映されません。
時間が経過すると変更後の値が反映されますが、使用するブラウザによっても反映時間は異なるため、反映にかかる時間を正確に予測することは出来ません。
変更前の名前が表示された場合は、ブラウザのキャッシュを利用せずに再読み込みを行う「Ctrl＋F5」を操作すると変更が反映されますのでお試しください。

フローソースの日付がずれていることが考えられます。受信しているFlowのTCPDUMPを取得し、以下の点を確認してください。

SysUptimeというデバイスのブート/フローエクスポートの初期化からの時間（秒）の値を確認し、フローソースが最近再起動を実施していないか確認してください。
フローソースが最近、再起動されている場合は、再起動が発生する前はフローのタイムスタンプは正しい時間では生成されていなかった可能性が有ります。

・生成されたフローソースがNetflow ver9であり、フローのタイムスタンプにrelative timestampsが使われてる場合は、 フローソースの起動からの相対的な時間を基に時刻を計算をするため、IPFIXで使用されるようになった現在の時刻を絶対値で表すabsolute timestampほど効果的ではない場合があります。 よって、正確な時刻を取得できるabsolute timestampを使用することを推奨しています。

リスレース後の新しいフローソースが作成するFlowの内容がリプレース前と同じか、フローソースの仕様及び設定を確認してください。
特にトラフィックはFlowの「バイト」フィールドを使用しますが、Netflow9の仕様では以下の二つのIDがバイトの転送用に定義されています。

ID 1 （octetDeltaCount） ・・・ Flowmon対応
ID 352 （layer2OctetDeltaCount） ・・・ Flowmon非対応

ID 352のlayer2OctetDeltaCount　についてはVer12.1現在、Flowmonは対応していませんので、
ID 1 octetDeltaCount を使用してFlowを生成するようにフローソース側が設定されているか、ご確認ください。

意図する結果を表示させるには統計基準とフィルタの組み合わせが重要になります。 統計基準とMACアドレスに関するフィルタ構文の組み合わせは以下です。

任意の送信元MACアドレス :  src mac
任意の宛先MACアドレス   :  dst mac
任意の入力MACアドレス   :  in mac
任意の出力MACアドレス   :  out mac
出力側宛先MACアドレス   :  out dst mac
入力ー送信元MACアドレス :  in src mac
入力ー宛先MACアドレス   :  in dst mac
出力側送信元MACアドレス :  out src mac

全てのコマンドを確認したわけではありませんが、FOS v10.03.09と最新バージョンのFOS v12.01.01ではコマンドの差異はありません。

通常は取得したトラフィックは、プリセットを適用する際に選択した履歴の設定によります。

履歴には「計算なしで作成」と「1日の履歴を再計算（デフォルト）」の選択肢があります。
「計算なしで作成」を選択すると、プリセットが適用された時点からトラフィックを取得します。
「1日の履歴を再計算（デフォルト）」を選択すると、プリセットが適用される1日前からのトラフィックが表示されます。

もし、2日以上前のトラフィックを表示したい場合は、以下の方法を実施してください。

1. 選択したプリセットのプロファイルが作成された後、Monitoring center>プロファイル>プロファイルの編集 に移動します。
2. プリセットで作成されたプロファイルを編集します。
3. プロファイルの編集画面の「開始日」をトラフィックを表示したい過去の日付から選択し、「新しいアイテム」として設定を保存します。
   例：「開始日」を2022/09/15 から 2022/09/14に変更し、新しいアイテムとして保存すると、2022/09/14からのトラフィックが取得されます。

• ※本方法では親プロファイルにデータが存在している範囲で日付を遡って再計算することができます。「開始日」に表示されたカレンダーにはデータの存在している範囲がクリック出来るようになっています。
• ※「新しいアイテム」として保存すると、プロファイルが複製されますので、古いプロファイルが不要な場合は、削除してください。

受信したフローの形式に問題が有る可能性が考えられます。

通常は各フローにはバイト数の情報を持つフィールドが1つ、パケット数の情報を持つフィールドが1つ設定されるべきですが、各フローのバイト数とパケット数の情報を持つフィールドが2つずつ設定されている場合、トラフィック量が正しく表示されない可能性が有ります。

NetFlow v9のバイト数とパケット数のフィールドには4バイト長または8バイト長の2つの「Input Length」のフォーマットがあり、いずれかを設定します。
Flowmonコレクタは両方の値が設定されている場合、8バイト長の方のみを使用しますが、8バイト長のフィールドに正しくない値が含まれていると想定外の値が表示されます。

tcpdumpを取得していただき、フローにバイト数とパケット数の情報を持つフィールドが2つ設定されていないかご確認ください。
フローにバイト数とパケット数の情報を持つフィールドが2つ設定されていた場合は、NW機器側のフロー生成の不具合と考えられますのでNW機器のベンダーにお問い合わせください。

Flowmonプローブでフローを生成される場合、入力／出力に関わらず、すべてが「入力バイト」としてフローが生成されます。
各条件時の入力バイトの詳細は以下のとおりです。

フッターのバイト：
解析のパラメータに関係なく（例：HTTP URLの通信、メールの通信、SNMPの通信等）、 指定の解析期間内のすべてのフローの値です。（フローが集約されません）
※解析のパラメータを変更しても指定の解析期間を変更しない限り、バイトの値は変わりません。

入力バイト：
指定の解析期間内のすべてのフローと選択したパラメータを集約され、選択したパラメータを含んだフローのみが選択され「入力バイト」として出力されます。

解析のパラメータ（統計基準）について
■統計基準：HTTP URL（フィルタ：設定なし）

■統計基準：HTTP URL（フィルタ：設定あり）

■統計基準：任意のIP

■統計基準：送信元IPアドレス

TLS情報の解析はFlowmon Probeで作成したフローのみに対応しています。
ネットワーク機器で生成したフローを解析した場合、TLSはN/Aで表示されますのでご注意ください。

また、Flowmon プローブと Flowmon コレクタ側でTLSの情報を取得するように以下の設定後に生成／受信したフローが必要です。

【プローブ側】

• プローブ側でキャプチャしている通信はRXとTX（行きと戻りの通信）の両方の通信をFlowmonの1つのポートに入れている必要があります。
• Flowmon Configuration Center>モニタリングポート>グローバル設定項目：
  高度な設定タブ：「IPFIXレコードのオプションのL7値」内の解析したいTLS項目をチェックしてください。
  ※すべてをチェックする必要はありません。必要な項目のみチェックを入れてください。
  ※詳しくはユーザガイドの「5.2 フローのデータベースフィールド」章をご確認ください。
  　ユーザガイドは画面右上「？」マークから表示が可能です。

【コレクタ側】
Flowmon Configuration Center>FMC設定>フローのデータベースフィールドFlowmon独自フィールド(IPFIX)：TLSフィールド内の解析したい項目をチェックしてください。
※すべてをチェックする必要はありません。必要な項目のみチェックを入れてください。
※詳しくはユーザガイドの「5.2 フローのデータベースフィールド」章をご確認ください。

解析の結果に表示される「期間」とは、高度な解析にて設定した期間中に確認されたフローの終了時間と開始時間の差を表します。
FlowmonのTOP統計は、フロー内のタイムスタンプを使用しており、解析にて選択した期間にコレクタに到達したフローデータを集約した結果が表示されます。
解析対象の時間を跨ぐフローがある場合、そのフローも集約対象に含まれるため、指定した解析時間よりも長くなる場合があります。

IPv6 RA のフローはマルチキャストアドレス（ff02::1、ff02::2）でフィルタリングすることで、抽出することができます。
詳細な方法は以下のとおりです。
Monitoring Center>解析>高度な解析にて以下を設定して解析を実行してください。
期間：解析したい期間を指定します。
統計基準：IP通信
集約：送信元IPアドレス、宛先IPアドレス、送信元ポート、宛先ポートIPプロトコル
フィルタ：ip in [ff02::1 ff02::2]

• ※  ff02::1 とはルータアドバタイズメントであり、RSを受信したときに応答するメッセージです。
• ※  ff02::2 とはルータ要請であり、IPv6対応ホストが、IPv6対応ルータに送信するメッセージです。

Flowmon内部に保持しているNBAR2のタグ情報を記載したリストを基にアプリケーション名に変換されますので、Flowmon内部のリストにNBAR2のタグ情報がない場合はID表記のままになります。

現在のところ内部リストを自由に修正／追加することはできません。

なお、Flowmon OS v12.01.01は以下のCisco Protocol Pack 60.0.0の情報を基に、IDからアプリケーション名に変換するリストが作成されています。

【Cisco Protocol Pack 60.0.0】
https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/qos_nbar/prot_lib/config_library/pp6000/nbar-prot-pack6000.html

※最新のCisco Protocol Packの反映はFlowmon OSのバージョン XX.YY.ZZ のYYが更新される際に実施されます。

IPアドレス0.0.0.0とSNMP設定には関係ありません。
理由はSNMPはFlowmonを操作運用する上で便利にする機能を提供するために使っているものであり、Flowの受信や解析には影響ないためです。

また、IPアドレス0.0.0.0とは無効または不明なターゲットを記述するルーティング不可能なアドレスであり、IPアドレスがFlowに記録されないプロトコルやポート等が取得される可能性があると考えられます。
例として以下のようなプロトコルなどがございますと、IP0.0.0.0が表示されます。
UDP 67/68・・・DHCP
IGMP・・・マルチキャスト
ARP

IPアドレスが0.0.0.0になる通信やプロトコル番号0の通信を実際にされていないか、NW機器の設定に不足がないか、生成したフローに不具合が無いか、ご利用しているNW機器のサポートにご確認ください。

検索した後に表示された「ホスト名」は現時点のホスト名になります。
アクティブデバイスではホスト名は保存されていません。
ユーザ設定にて「ドメイン名解決」を設定されている場合は、アクティブデバイスの一覧を表示する際にIPアドレスをDNSサーバに問合せた結果を表示しております。

1分粒度のプロファイルをバックアップ、リストアしていただくことで、30日より前の1分粒度のグラフを描画することは可能です。
バックアップ、リストアが可能なのはリアルプロファイルとなります。

なお、リストアを行う際、ファイルの容量によっては多くの時間を要しますので 過去のグラフを参照したい期間のみ（2～3日を推奨）をリストアしてください。

Monitoring Center>解析>画面上部の時系列グラフでは 5分プロファイルの場合100時間以内であれば5分、100時間～15日と8時間であれば、30分で集約されます。
30分で集約されたグラフの場合、「集約機能の最大値」にチェックを入れるとその30分間で最大の5分平均値が表示されます。

プロファイルの場合、Monitoring Center>プロファイル>任意のプロファイルのグラフを表示し、右上の「集約機能の最大値」を選択します。
解析の場合、Monitoring Center>解析にて画面上部に表示されるグラフの右下にマウスオーバーし、「集約機能の最大値」を選択します。
レポートの場合、Monitoring Center>レポート>概要にて表示されたグラフをマウスオーバーし、「集約機能の最大値」を選択します。
また、メールや外部ストレージに送信しているレポートの場合、Monitoring Center>レポート>レポート>レポートの編集にて追加したトラフィックチャプタの「グラフオプション」にて「最大値」を選択します。

解析の項目に「HTTP結果コード」があります。
それを選択しますと、HTTPのレスポンスコードレベルの情報を確認することができます。

Monitoring center>解析>高度な解析にて
統計情報：HTTP結果コード

補足情報：
HTTP(S)情報を取得するためには以下の設定が必要です。
Configuration center>モニタリングポート>グローバル設定>「IPFIXレコードのオプションのL7値」の「HTTP」のチェックを付けてください。

また、HTTPホスト名を解析するためには、
コレクタ側でConfiguration center>FMC設定>フローのデータベースフィールド>「HTTPフィールド」のHTTP項目を付けてください。
例：HTTPホスト名、HTTPメソッドおよび結果、HTTP URL、HTTP OSおよびアプリケーション情報

本メッセージは別の端末や別のブラウザで同じタイミングで解析を実行した場合や、同じブラウザで解析の実行中に再度実行ボタンをクリックすると表示されます。

VPNで割り当てているIPアドレスのレンジでフィルタやプロファイルを作成することで、対象のトラフィックに絞りグラフ化し可視化することが可能です。

宛先のIPをプロキシのIPで絞り込めば判別可能です。
また、Probeを使えば同時にhttpホスト名も表示できますので、どこ向けの通信かも可視化できます。

可能です。
MACアドレスはProbeを使わなくとも、NW機器からの標準フローで取得可能です。
ただし、端末のMACを取得するためには、ルーティングされる前のポイントでフローを生成いただく必要があります。
（ルータなどでルーティングされますと、そのルータのMACアドレスが取得されてしまうため）

可能です。
httpsの通信であっても、送信元/宛先IPアドレスやプロトコルといった情報は取得可能です。
（名前解決が可能であればホスト名でも表示できます）
また、ProbeでFlow生成を行うことでhttpのホスト名が可視化可能です。
これは、HTTPホスト名はHTTPヘッダーのGetリクエストに含まれるSNIから取得しているためです。

可能です。
プローブを導入いただくことでホスト名を指定したフィルタを使用いただくことが可能となりますので、個別にTeamsのホスト名指定をしていただきプロファイルを作成することでTeamsについてのトラフィックを解析いただくことが可能となります。
また、そのほかに新機能のテンプレート設定機能を使用し、Office365のテンプレートプロファイルを作成いただくことでTeamsについて個別にトラフィックを解析できるテンプレートプロファイルが作成されますので、そちらもプローブをご導入いただくことで使用いただけます。

Flowmonでは「DSCP値」と明示された解析基準はございませんが、「TOS値」にて代用し、表示することが可能です。

TOS値での解析は可能でございます。
送信元宛先を区別しないTOS、送信元TOS、宛先TOSの統計基準にて解析することができます。

Flowmonはリアルタイムではなく基本的に5分毎での解析となります。
ただし、設定を行うことで、1分または30秒毎での解析が可能となります。

復号化は行いませんが、ヘッダー情報から解析可能です。

Flowmonではトラフィックの総量はもちろん、その内訳のいつ誰がどこに通信しているのかを可視化することで迅速なボトルネックの追及をすることが出来ます。

Flowで取得している情報であればすべてフィルタ条件とすることが可能です。
例：IPアドレス、ネットワークレンジ、ポート、HTTPホスト名
詳しくはWebGUI右上部の「？」より、ユーザーガイドをご参照ください。

可能です。
解析時のフィルタ構文でパケット・バイト・ビットでフィルタをかけることができます。
また、アラート機能を利用し閾値を設定することで、異常なトラフィック発生を検知できます。

IPアドレス単位でのプロファイル作成は可能ですが、変換前のIPアドレスを解析することはできません。

NBAR2のアプリケーションタグが表示されます。
NW機器またはプローブでFlow生成を行う際にNBAR2をFlowに含める必要があります。

期間から「直近12時間」～「直近3か月」の間で選択し表示することができます。
また、開始・終了から日付、時間を設定し任意の期間を表示することができます。

利用頻度の高いフィルタを保存しておくことで、「my filter」から選択して解析することができます。

国旗の表示をOFFにすることが可能です。

1.解析画面の右上にあるユーザー名（例：admin）をクリックしてください。

2.「ユーザー設定」を選択し、ユーザー編集画面にて「解決」を展開し、IPジオロケーション」のチェックを外し、設定を保存しますと、国旗が表示されなくなります。

解析結果にて「０」が表示される原因は2つあります。
1つ目は、ある項目で集約した結果、集約対象外の項目に複数の値が含まれる場合に０と表示されます。
例えば、フローのリストで集約にて「送信元IPアドレス」と「宛先IPアドレス」を設定し実行すると、「送信元IPアドレス」と「宛先IPアドレス」が同じものがまとめられた結果、送信元ポートには80や443等の複数の値が含まれることになるため、「０」と表示されます。

2つ目は、NW機器にて生成されたフローに「INPUT_SNMP」と「OUTPUT_SNMP」のフィールドが含まれていない場合、インデックスが０と表示されます。
NW機器の設定によって「INPUT_SNMP」と「OUTPUT_SNMP」のフィールドが含まれていない、またはIN方向とOUT方向を同時に生成できないなどのNW機器の仕様の可能性がありますのでNW機器のベンダーにご確認ください。

１．Flowmonの停止と起動について
停止は、「Configuration Center」＞「システム」＞「システム設定」タブにて「システム電源の制御」項目から、「シャットダウン」をクリックします。

FlowmonのGUIにアクセスできないなど、Flowmonからシャットダウンができない場合は、iDRACからの停止も可能です。
１）iDRACにログイン後、ダッシュボード画面を表示します。
２）「正常なシャットダウン」を押すと、電源が切れます。

その他、電源ボタンを長押しする場合でも電源を切ることができます。しかしながら、Flowmonの画面にアクセスできないなど事情がない限り、FlowmonのConfiguration Centerからのシャットダウンを推奨します。

起動は、本体のボタンを押すことで行えます。
または、iDRACのダッシュボードで「システムの電源を入れる」を押すことでも、電源が入ります。

２．コレクタ・プローブの起動・停止の優先順位について
コレクタとプローブの起動および停止は基本的にはどちらからでも構いません。
しかしながら、フロー情報を生成するプローブをコレクタよりも先に起動することで、より早くフロー情報を生成することができますので、若干ですがプローブを先に起動する方がメリットがあります。
ただし、コレクタが起動する間に生成されるフロー情報は、コレクタには保存されません。
停止は、どちらを先にしても、変わりはありません。

モニタリングポート（エクスポーター）の再起動には以下のコマンドが有効です。
GUIでモニタリングポートの再起動ボタンをクリックすると、以下のコマンドが実行されています。

sudo service flowmon restart

なお、CLIではポート1のみといった個々のモニタリングポートの再起動は出来ず、
上記のコマンドを実行すると全てのモニタリングポートが再起動されます。

再起動中はFlowの生成及び収集は行われず、その期間のグラフも途切れて表示され、解析もできません。

Flowmonのディスク量やルートパーティション量が一杯になっている状態でFlowmonを再起動しますと、Flowmonにアクセスできなくなる場合があります。
しかし、これは非常に稀なケースであるため通常発生はしませんが､過去の事例として上記のような事象が報告されています。