Documentação do SmartFlow

Plataforma de análise de tráfego e proteção contra ataques DDoS para provedores e operadoras.

Este guia cobre desde a instalação em um servidor dedicado até a operação diária: arquitetura, requisitos, passo a passo de instalação, atualizações automáticas, as telas do sistema e a resolução dos problemas mais comuns.

Visão geral

O SmartFlow recebe os fluxos de tráfego dos seus roteadores (NetFlow, IPFIX ou sFlow), enriquece cada fluxo (geolocalização, ASN, reputação) e mantém uma linha de base do comportamento normal da rede. Com isso ele:

• Detecta ataques DDoS comparando o tráfego atual com a linha de base aprendida, por alvo, decodificador e assinatura de comportamento.
• Mitiga automática ou manualmente, via BGP (FlowSpec, RTBH/blackhole e desvio de tráfego para scrubbing), com travas de segurança e modo de simulação.
• Analisa o tráfego em tempo real e histórico: top talkers, prefixos, ASNs, países, CDNs, trânsito, PTT e clientes.
• Monitora a saúde das interfaces e sessões BGP por SNMP e NETCONF, com SLA e qualidade de link.
• Oferece um Portal do Cliente para que os seus clientes acompanhem os próprios ataques, e um Mini App de NOC no Telegram.

Arquitetura

O SmartFlow é entregue como um conjunto de contêineres Docker orquestrados por docker compose. Todos rodam em uma rede interna isolada; apenas o proxy reverso (Traefik) e o coletor de fluxos ficam expostos.

Requisitos do servidor

O SmartFlow roda em um servidor dedicado (físico ou virtual) sob seu controle.

Hardware recomendado

O dimensionamento do disco depende do volume de fluxos e do período de retenção. O sistema tem poda automática do volume; ainda assim, planeje o disco para o histórico que você quer manter.

Sistema operacional e dependências

• Ubuntu Server 22.04 LTS ou mais novo (ou distribuição equivalente com kernel recente).
• Docker Engine e o plugin docker compose.
• Utilitários jq, flock e openssl (o instalador verifica e instala o que faltar).

Portas

DNS e domínios

O SmartFlow usa quatro subdomínios de um domínio que você escolher (representado abaixo como seu-dominio). Todos devem apontar (registros A/AAAA) para o IP do servidor antes da instalação — é isso que permite emitir o certificado HTTPS.

Instalação

A instalação é feita por linha de comando, como root (ou com sudo), no servidor já preparado. Você recebe do fornecedor um token de acesso ao registro, exclusivo da sua instalação.

docker version
docker compose version

docker login registry.l7.net.br -u 'robot$smartflow+cliente-SEU-NOME'
# cole o token quando for solicitada a senha

docker create --name sf registry.l7.net.br/smartflow/release:beta /none
docker cp sf:/release/deploy/install.sh .
docker rm sf

sudo bash install.sh --domain seu-dominio --channel beta

Primeiro acesso

Ao abrir o painel pela primeira vez, entre com as credenciais de administrador fornecidas na entrega. Recomenda-se, logo no primeiro acesso:

1. Trocar a senha do administrador.
2. Criar os usuários da equipe com os papéis adequados (veja abaixo).
3. Cadastrar os roteadores exportadores e os prefixos protegidos.

Papéis de usuário

O acesso é controlado por papel: o administrador configura o sistema; o operador acompanha e age sobre incidentes; papéis de NOC (N1/N2) e de visualização/auditoria dão acesso graduado. As telas visíveis também podem ser restringidas por usuário em Configurações → Usuários.

Configuração inicial

1. Exportadores (roteadores)

Em Configurações → Exportadores, cadastre cada roteador que envia fluxos: IP de origem, taxa de amostragem e credenciais SNMP/NETCONF (para SLA e qualidade). Aponte o NetFlow/IPFIX/sFlow do roteador para o IP do servidor nas portas indicadas em Requisitos.

2. Prefixos

Em Configurações → Prefixos, cadastre os blocos IP da sua rede e dos seus clientes. O sistema descobre automaticamente os prefixos de um ASN e permite marcar quais são protegidos (alvo de detecção e mitigação) e dar apelidos aos blocos.

3. BGP

Em BGP → Configuração Global, defina o AS local e o router-id, e cadastre as sessões com os roteadores. A mitigação por BGP só age depois que as sessões estão estabelecidas.

Atualizações e canais

O SmartFlow se atualiza sozinho: a cada minuto ele verifica se há uma versão nova no seu canal e, havendo, avisa os usuários conectados e se atualiza. As versões seguem o formato ANO.MÊS.DIA.N e nunca retrocedem.

Os três canais

O canal é escolhido em Configurações → Atualizações. A tela mostra a versão instalada, a versão disponível em cada canal e o histórico de atualizações.

Telas do sistema

Backup e retenção

O sistema faz um backup do banco de configuração antes de cada atualização (em backups/ no diretório de instalação). A retenção do histórico de tráfego é configurável em Configurações → Retenção, com poda automática do volume.

Troubleshooting

A página não abre / erro de certificado

O certificado HTTPS é emitido no primeiro acesso e depende dos DNS já apontando para o servidor e das portas 80/443 acessíveis pela internet. Confirme os registros A/AAAA dos quatro subdomínios e aguarde até um minuto na primeira vez.

Erros 502 logo após uma atualização

Durante uma atualização os serviços são recriados e o backend fica indisponível por cerca de um minuto — erros momentâneos no console são esperados. Recarregue a página após a conclusão.

Não aparece tráfego

• Confirme que o roteador está enviando NetFlow/IPFIX/sFlow para o IP do servidor na porta correta.
• Verifique se o exportador está cadastrado em Configurações → Exportadores com a taxa de amostragem correta.
• Use o log de erros por exportador (botão na tela de Exportadores) para ver se os fluxos estão chegando.

Estado dos serviços

No servidor, o estado dos contêineres pode ser verificado com:

# no diretório de instalação (padrão /opt/smartflow)
docker compose ps
docker compose logs --tail=100 backend

Forçar uma verificação de atualização

Use o botão Verificar agora em Configurações → Atualizações, ou aguarde o ciclo automático (1 minuto).

Contato e suporte

Em caso de dúvida ou incidente, acione o suporte pelos canais combinados na contratação. Ao abrir um chamado, informe a versão instalada (em Configurações → Atualizações) e, se possível, os logs do serviço afetado.