linux - 将 PCAP 跟踪转换为 NetFlow 格式

Question

我想将一些 PCAP 跟踪转换为 Netflow 格式，以便使用 Netflow 工具进行进一步分析。有什么办法吗？

具体来说，我想使用“流导出”工具从 netflow 跟踪中提取一些感兴趣的字段，如下所示:

$ flow-export -f2 -mUNIX_SECS,SYSUPTIME,DPKTS,DOCTETS < mynetflow.trace

在这种情况下，mynetflow.trace 文件是通过使用以下命令转换 PCAP 文件获取的:

$ nfcapd -p 12345 -l ./ 

$ softflowd -n localhost:12345 -r mytrace.pcap

这会生成一个 netflow 跟踪，但它不能被 flow-export 正确使用，因为它的格式不正确。我还尝试将以下命令的输出通过管道传输到流导出，如下所示:

$ flow-import -V1 -z0 -f0 <mynetflow.trace | flow-export -f2 -mUNIX_SECS,SYSUPTIME,DPKTS,DOCTETS

但第一个命令的输出生成了零时间戳。

有什么想法吗？

Answer 1

我查看了流导出文档，发现 pcap 实现存在一些公认的错误。不确定它们是否已修复。

根据捕获的内容，您还有其他几个选择:如果您从链接中捕获了直接流量并且想将其转换为 NetFlow 格式，您可以在此处下载一个读取 PCAP 的免费 netflow 导出工具:

FlowTraq Free Exporter

或在这里:

NProbe

如果您捕获了传输中的 NetFlow 流量(比如 UDP/2055)，那么您可以使用任何 Linux 发行版中提供的工具(如“tcpreplay”)重放它。