python - Netflow v9 中的字段 ID 不正确

Question

在分析 Netflow V9 时，我能够正确获取大多数字段 ID 及其值，如

中定义的那样

http://www.iana.org/assignments/ipfix/ipfix.xml

但是对于 NAT 文件，我得到的是 40000 ,40001, 40002, ... 而不是 224, 225, 226, ...但是我检索到的每个字段的值都是正确的。

我确信所有字段的 id 和值都已正确获取。我不知道真正的问题是什么。我尝试使用

将主机转换为网络字节，反之亦然

field_type = socket.ntohs(struct.unpack('H', template_data[a:b])[0])

附注我使用 cisco 路由器作为 netflow v9。

Answer 1

思科不使用 IPFIX，而是使用 NetFlow v9。尽管IPFIX源自Cisco的NetFlow v9规范，但还是存在一些差异。其中之一是 IPFIX 允许使用 PrivateEnterpriseNumber 在字段类型数字中使用每个供应商的命名空间。 NetFlow v9 没有这样的功能，因此供应商必须任意选择一系列数字来报告其自定义字段，并希望没有其他人选择相同的范围。在这种情况下，我猜测您从 Cisco ASA 获取 NetFlow 票证，它确实使用了 40000-40005 范围内的多个字段。

有一个名为“Cisco ASA 5500 Series Implementation Note for NetFlow Collectors, 8.3”的文档' 描述了这些字段。