netflow v9中的字段ID不正确

Question

在分析NetFlow v9时，我能够正确地获得大多数字段ID以及它们的值，因为它们在中定义

http://www.iana.org/assignments/ipfix/ipfix.xml

但我得到40000,40001,40002，而不是224,225,226，...对于NAT提起， 但是，我检索到的每个字段的值都是正确的。

我确定所有字段的ID和值是否正确获取。 我不知道是什么是真正的问题。我尝试将主机转换为网络字节，反之亦然使用

field_type = socket.ntohs(struct.unpack('H', template_data[a:b])[0])

.

p.s。我使用了Cisco路由器进行Netflow V9。

Answer 1

思科不使用IPFIX，但netflow v9。虽然IPFIX源自思科NetFlow V9规范，但存在一些差异。其中一个是IPFIX允许使用PrivateNenterPriseNumber的字段类型编号中的每个供应商名称空间。Netflow V9没有这样的设施，因此供应商必须任意选择一系列数字来报告其自定义字段，并希望没有其他人选择相同的范围。在这种情况下，我猜测你的来自思科ASA的Netflow票，确实使用了40000-40005范围内的许多字段。

有一个名为'思科asa5500系列实施记录为NetFlow收集器，8.3 '，描述这些字段。