问题标签 [netflow]

我正在尝试了解 netflow v9，我对 netflow v9 几乎没有疑问

1) netflow 路由器上的模板如何以及为什么会发生变化？我知道 netflow v9 的创建是为了可以指定许多不同的模板。但是为什么一个人会配置多个不同的模板，即为什么不只是一个包含所有必填字段的模板。

2) 如果有 2 个具有共同文件的模板，当用户会话到期时，是否会为两个模板生成数据？这不是数据重复吗，收集引擎是否需要确保它结合

我有一个精打细算的客户，他想看看网络上何时有 ddos​​ 攻击，以便他们可以使用普通工具对攻击进行黑洞路由。目前，他们的设备仅导出 sflow 流量。系统管理员说他们需要不同的硬件和完整的 netflow 导出来进行 ddos​​ 检测，这准确吗？

我正在尝试将一些 netflow 数据输入 kafka。我有一些netflow.pcap我读过的文件

tcpdump -r netflow.pcap并得到这样的输出：

. . . .

在官方文档中，他们提到了启动 kafka 生产者的传统方式，启动 kafka 消费者并在终端中输入生产者的一些数据，这些数据将显示在消费者中。好的。在职的。

在这里，他们展示了如何向 kafka producer 输入文件。请注意，只有一个文件，而不是多个文件。

问题是：

如何将 shell 脚本的输出输入 kakfa 代理？

例如，shell 脚本是：

我找不到他们提到如何执行此操作的任何文档或文章。任何想法？谢谢！

是否有任何选项可以知道我的 netflow 数据的版本号。我有使用 tcpdump 生成的 pcap 文件。然后使用一些开源（取决于 tshark）我将 pcap 数据转换为 netflow。我无法找出它所在的 netflow 版本？netflow v5 或 v7....或 IPFIX。
有没有办法通过查看数据来告诉 netflow 版本？

我在路由器上配置 Netflow Flexible 使用 IPFIX 协议Cisco ASR 1001-X并成功接收到 IPFIX 数据包。路由器使用导出器（观察域 ID = 0）导出数据集，并使用另一个导出器（观察域 ID = 1）导出模板集。

我之前通过在 GNS3 上配置路由器进行了测试，但我从同一个导出器（观察域 ID）收到了数据集和模板集。

通过观察域 ID 和模板 ID 匹配数据和模板是否重要？或者我应该通过模板 ID 和源 IP 匹配数据和模板！

我正在使用 Cisco Configuration Professional，但 Netflow 收集器存在一些问题。经过一系列的尝试和猜测，我将问题限制为数据库问题。特别是收集器只能在数据库中写入 netflow 版本 1 流。CCP 使用的数据库是 hsqldb。当我想知道为什么它不写流时，我试图记录使用两者发出的每个查询hsqldb.sqllog（附加在 hsqldb url 中），SET DATABASE EVENT LOG SQL LEVEL 3但它们不成功（它们启动了一个 java 异常）。是否有任何参数阻止 sql 日志记录？它是一个 java.class 文件，必须添加到 hsqldb.jar 包中才能使用？

谢谢

根据我为 NfDump 找到的文档，obyt 是输出字节数。

这是什么意思 ？在我所有的数据中， obyt 等于 0 。这是否意味着所有数据包都被丢弃？

我已经在 Debian 8.2 上安装并配置了YAF (v. 2.8.4) + SiLK (v. 3.12.1)，我遇到了两个问题：
第一个。每次我启动时yaf，只要建立了 TCP 连接，yaf进程就会因以下错误而终止：

第二。同样在yaf运行时（eth0 上没有任何 TCP 连接），rwfilter --proto=0- --type=all --pass=stdout | rwcut | head命令输出为空。

我在目录中有两天前的一些流信息/data/，我可以通过

这表明yaf并SiLK在 5 月 23 日正常工作。（但对于一些小步舞曲！！！）。不幸的是，我只有今天的日志和 23 日的日志被截断。

配置和日志：

ps ax |grep "yaf\|rwflowpack":

iptables 规则：

yaf.log：

rwflowpack 日志：

usr/local/etc/ yaf.conf：

/data/ Silk.conf：

/data/sensor.conf：_

/usr/local/etc/rwflowpack.conf：_

yaf --版本：

丝绸版本：

我正在尝试从本地主机获取网络操作数据。我知道 packetbeat 可以做一些工作。但是，我想用 logstash 收集数据，但我的配置没有输出任何东西。有没有人可以给我一些建议？

任何人都可以帮助我吗？我在这里有些困惑：

1. 使用 netflow 输入或 udp 输入有什么区别？
2. 我应该使用 udp 输入监听哪个端口？

提前致谢。

我在 nfdump 生成的结果中的“首次看到日期”列中有问题。我在 ESXi 5.5 上启用了 netflow 以将 netflow 数据发送到 netflow 服务器。到目前为止一切正常，我可以使用以下命令使用 nfcapd 捕获 netflow 数据：nfcapd -D -z -u netflow -p 9996 -n Esxi,192.168.20.54,/data/nfdump -S2 -e 但问题是当我使用 nfdump 过滤流量时（例如使用 nfdump -R nfdump5/2016/ -c 10），我在所有条目中看到“第一次看到日期”列的“1970-01-01 03:30:00.000”！！！我应该怎么做才能获得正确的时间戳？任何帮助表示赞赏。