NetFlow e BGP juntos: como o ntop mostra por onde o seu tráfego realmente passa
Mergulho técnico em como o ntop cruza fluxos e BGP para revelar rotas, trânsito e peering, e não só bytes. Com os diagramas da apresentação no GRNOG 20.
4 min de leitura
Este é o mergulho que prometemos no panorama da apresentação. Foi o tema mais aprofundado no palco, e é aqui que a análise de rede deixa de responder "quantos bytes passaram" e passa a responder "por qual rota, com qual peer e a que custo". Todos os diagramas abaixo são da própria apresentação.
Um fluxo carrega muito mais do que bytes
A maioria das pessoas pensa em NetFlow como contagem de tráfego. Mas um registro de fluxo traz também os campos de roteamento: número de AS de origem e destino, máscara de prefixo e next hop. São esses campos que abrem a porta para enxergar a rede pelo lado das rotas, e não só do volume.
A arquitetura, sem caixa preta
O ntopng não é uma caixa fechada. O nProbe e o PF_RING coletam pacotes e fluxos, o ntopng processa, o ClickHouse guarda as séries temporais, o Redis faz cache, e Grafana, Elastic e Wazuh se integram na ponta. Tudo aberto, on-premise, rodando na sua casa.
Coleta de qualquer fabricante
Aqui está a neutralidade na prática. MikroTik, Cisco, Huawei, HPE e Juniper exportam sFlow ou NetFlow, o nProbe recebe, adiciona DPI leve e entrega ao ntopng. Você não fica preso a um fabricante para ter visibilidade.
BGP e fluxos, finalmente no mesmo lugar
Esta é a virada técnica. Um coletor recebe as sessões BGP e BMP do roteador de forma passiva, acompanhando a tabela de rotas, os anúncios e as retiradas de prefixo. Com isso, cada fluxo passa a ser enriquecido com a sua história de roteamento, sem que a coleta interfira nas decisões da rede.
Você diz quem é quem
Números de AS soltos não dizem nada. O ntop deixa você declarar os seus ASNs, os ASNs dos seus clientes e os ASNs remotos relevantes. E, em cada interface, você marca o papel: peering, trânsito, ponto de troca de tráfego (IX), cliente ou uplink. Esse contexto é o que transforma dado bruto em significado.
O resultado 1: quem fala com quem
Com os ASNs mapeados, você enxerga os sistemas autônomos por trás do seu tráfego, com link direto para o RIPEstat e o PeeringDB e a divisão entre enviado e recebido. Os peers reais deixam de ser um mistério.
O resultado 2: trânsito versus peering, onde vai o dinheiro
Para um provedor, esta é a tela que fala de custo. Quanto do seu tráfego vai por trânsito pago, quanto por peering barato ou gratuito, quanto pelo IX. O ntop mostra isso por papel de interface e desenha o caminho do tráfego enlace a enlace.
O resultado 3: a história BGP de cada fluxo
E não é média. Para cada fluxo, o ntop mostra o prefixo, o peer BGP, o AS path, o next hop, o MED, a local preference e as communities. É a rota real que aquele tráfego seguiu, registro a registro.
Bônus: looking glass com RPKI
Ainda dá para consultar um prefixo direto na ferramenta, ver os peers e caminhos, e checar o status de validação RPKI. Um jeito rápido de flagrar rota inválida antes que ela vire problema.
Por que isso importa para a sua operação
Pare um minuto e imagine a próxima reunião de custos com esse mapa na mão. Você aponta, enlace a enlace, quanto do seu tráfego escoa por trânsito pago e quanto já poderia estar em peering. Cada gigabit que migra é dinheiro que fica no caixa, mês após mês. E, no mesmo painel, você flagra uma rota inválida pelo RPKI antes que ela vire dor de cabeça, tudo on-premise, com os dados no Brasil e sem depender de um único fabricante.
Essa é a operação que a Lavineda implanta e sustenta todos os dias. O primeiro passo é simples e não custa nada: em uma PoC guiada, instalamos o ntop na sua rede e mostramos, com números, onde estão os seus vazamentos e as suas oportunidades. Você decide o resto depois de ver.
Fontes
Baseado na apresentação de Luca Deri no GRNOG 20, em 30 de junho de 2026: