Неправильный идентификатор поля в NetFlow V9

Question

При анализе Netflow V9 я могу правильно получить большинство идентификаторов полей вместе со своими значениями, как это определено в

http://www.iana.org/assignments/ipfix/ipfix.xml

Но я получаю 40000, 40001, 40002, ... вместо 224, 225, 226, ... для NAT Filed, Однако значения для каждых полей, которые я извлекил, верны.

Я уверен, что все поля и значение и значение поля соответствуют правильно. Я не знаю, что такое настоящая проблема.Я пробовал с преобразованием Host на сетевой байт и наоборот, используя

field_type = socket.ntohs(struct.unpack('H', template_data[a:b])[0])

.

P.S.Я использовал маршрутизатор Cisco для Netflow V9.

Answer 1

Cisco не использует IPFIX, но NetFlow V9.Хотя IPFIX получен из спецификации Netflow V9 Cisco, есть некоторые различия.Один из них заключается в том, что IPFix позволяет проводить пространства имен для каждого поставщика в номерах типа поля, используя PasiceenterPriseNumber.NetFlow V9 не имеет такого объекта, поэтому поставщики должны произвольно выбирать диапазон номеров, чтобы сообщить о своих пользовательских полях и надеюсь, что никто другой не выбирает тот же диапазон.В этом случае я предполагаю, что ваши билеты на NetFlow от Cisco Asa, который действительно использует ряд полей в диапазоне 40000-40005.

Есть документ под названием « Cisco AsaПримечание для реализации серии 5500 для коллекционеров Netflow, 8.3 ', которые описывают эти поля.