nfdump
Conjunto de herramientas esencial para el análisis de tráfico de red utilizando datos de NetFlow/IPFIX. Se requiere un proceso nfcapd por cada flujo de NetFlow. Incluye las aplicaciones nfanon, nfcapd, nfdump, nfexpire, nfpcapd, nfprofile, nfreplay y nftrack.
$ nfdump -r nfcapd.202511131800
muestra el contenido de un archivo específico
$ nfdump -R /var/cache/nfdump
lee recursivamente todos los archivos de flujo en el directorio
$ nfdump -t 2026/8/24.00:00:00-2026/08/25.20:30:00 -R /var/cache/nfdump
muestra flujos dentro del periodo especificado
$ nfdump -R /var/cache/nfdump -s srcip/bytes -n 10
estadísticas de las 10 IP de origen más activas, ordenadas por bytes
$ nfdump -R /var/cache/nfdump -s dstport/flows -n 5
top 5 de puertos destino, ordenados por número de flujos
$ nfdump -R /var/cache/nfdump -A srcip,dstip
agregación por par [IP origen, IP destino]. Muestra el total de tráfico entre cada par de IP
$ nfdump -R /var/cache/nfdump -T
ver los últimos flujos en tiempo real
$ nfdump -R /var/cache/nfdump "host 142.250.181.106"
ver solo tráfico hacia/desde una IP concreta
$ nfdump -R /var/cache/nfdump "proto udp"
ver solo tráfico UDP
$ nfdump -R /var/cache/nfdump 'proto tcp and src ip 192.168.1.10'
Flujos TCP de una IP de origen específica
$ nfdump -R /var/cache/nfdump 'proto udp and bytes > 10k'
tráfico con más de 10.000 bytes y protocolo UDP
$ nfdump -R /var/cache/nfdump 'dst port 80'
flujos con destino a un puerto HTTP [80]
$ nfdump -R /var/cache/nfdump "port 443"
ver tráfico por un puerto
$ nfdump -R /var/cache/nfdump "port > 1024 and proto tcp" -O bytes
ver tráfico sospechoso como puertos altos, conexiones raras...
$ nfdump -R /var/cache/nfdump "port 443" -O bytes -n 10
puerto 443 ordenado por bytes
$ nfdump -R /var/cache/nfdump -s dstport -n 10
top 10 de puertos destino con más tráfico
$ nfdump -R /var/cache/nfdump -s srcport -n 10
top 10 de puertos origen con más tráfico
$ nfdump -R /var/cache/nfdump -s router
exportar la dirección IP del enrutador
$ nfdump -R /var/cache/nfdump -s dstport/bytes -n 10
top 10 por puerto destino ordenado por bytes
$ nfdump -R /var/cache/nfdump -s port
los 10 puertos principales ordenados por flujo
$ nfdump -R /var/cache/nfdump "port 443" -s octets -n 10
top 10 de tráfico de un puerto específico
$ nfdump -R /var/cache/nfdump -O bytes -n 10
top 10 por bytes
$ nfdump -R /var/cache/nfdump -O packets -n 10
top 10 por paquetes
$ nfdump -R /var/cache/nfdump -O flows -n 10
top 10 por conexiones más activas
$ nfdump -R /var/cache/nfdump -O bps -n 10
top 10 por ancho de banda
$ nfdump -R /var/cache/nfdump -g
imprime para cada archivo de flujo un resumen de una línea
$ nfcapd -D -p 9995 -l /var/flows/router1
Ejecutar como demonio, recibir datos NetFlow en el puerto 9995 y guardarlos en el directorio /var/flows/router1
$ nfanon -r in.nf -w anon.nf -T 1
anonimizar un archivo de flujo de entrada "in.nf", guardar el resultado anonimizado en "anon.nf" y utilizando el método de anonimización 1
$ nfexpire -e 7d -w /var/flows/router1
limpiar archivos antiguos en /var/flows/router1, manteniendo solo los datos de los últimos 7 días
1.-
Hacer una gráfica con nfdump y gnuplot:
$ cd pruebas
$ nfdump -R /var/cache/nfdump -g > trafico.csv
guardar la salida en un archivo
Crear un script de gnuplot
$ cat > grafica.gp << 'EOF'
set terminal png size 1200,600
set output "trafico.png"
set xdata time
set timefmt "%Y-%m-%d %H:%M:%S"
set format x "%H:%M"
set xlabel "Hora"
set ylabel "Bytes"
set title "Tráfico de red por intervalo de 5 minutos"
plot "trafico.csv" using 1:2 with lines title "Bytes"
EOF
$ gnuplot grafica.gp
generar la gráfica
Visualizar el archivo especificado en el comando cat [trafico.png] con cualquier programa visualizador de imagnes.