pcap - 如何找到我的 netflow 数据版本号？

Question

是否有任何选项可以知道我的 netflow 数据的版本号。我有使用 tcpdump 生成的 pcap 文件。然后使用一些开源（取决于 tshark）我将 pcap 数据转换为 netflow。我无法找出它所在的 netflow 版本？netflow v5 或 v7....或 IPFIX。
有没有办法通过查看数据来告诉 netflow 版本？

Answer 1

如果您使用 PCAP 文件通过线路生成和导出 NetFlow，则版本号位于 UDP 数据包有效负载的第二个字节中。该值将为 5、7、9 或“A”（在 IPFIX 的情况下）。

但是，如果您使用文本格式将记录转储到磁盘，那么在您以某种方式通过网络导出它们之前，它们在技术上并不是真正版本化的 NetFlow。