ID de campo incorrecto en netflow v9

Question

Mientras analiza NetFlow V9, puedo obtener la mayoría de los campos IDS correctamente junto con sus valores, ya que se define en

http://www.iana.org/assigments/ipfix/ipfix.xml

Pero estoy recibiendo 40000, 40001, 40002, ... en lugar de 224, 225, 226, ... para las presentaciones de NAT, Sin embargo, los valores para cada campos que recibí son correctos.

Estoy seguro de que todas las identificaciones y el valor de todos los campos se obtienen correctamente. No sé cuál es el problema real.Intenté con la conversión del anfitrión del byte de la red y viceversa usando

field_type = socket.ntohs(struct.unpack('H', template_data[a:b])[0])

P.s.Utilicé Cisco Router para NetFlow V9.

Answer 1

Cisco no usa IPFIX, sino NetFlow V9.Aunque IPFIX se deriva de la especificación de NetFlow V9 de Cisco, hay algunas diferencias.Uno de ellos es que IPFIX permite espacios de nombres por proveedor en los números de tipo de campo utilizando el enumeración privadaEmprisEnumer.NetFlow V9 no tiene dicha instalación, por lo tanto, los proveedores tienen que elegir arbitrariamente una gama de números para informar sus campos personalizados y esperar que nadie más seleccione el mismo rango.En este caso, supongo que obtiene sus boletos de NetFlow de Cisco ASA, que de hecho usa una serie de campos en el rango de 40000-40005.

Hay un documento llamado ' Cisco AsaNota de implementación de la serie 5500 para los colectores de netflow, 8.3 'que describe esos campos.