ESXi에서 생성 한 netflow 데이터의 시간이 잘못되었습니다.

Question

nfdump에서 생성 한 결과에서 "Date first seen"열에 문제가 있습니다. ESXi 5.5에서 netflow 데이터를 netflow 서버로 보내려면 netflow를 활성화했습니다. 지금까지 모든 것이 정상이며 다음 명령을 사용하여 nfcapd를 사용하여 netflow 데이터를 캡처 할 수 있습니다. nfcapd -D -z -u netflow -p 9996 -n Esxi, 192.168.20.54,/data/nfdump -S2 -e 문제는 nfdump (예 : nfdump -R nfdump5/2016/-c 10)로 트래픽을 필터링하면 모든 항목에서 "Date first seen"열에 대해 "1970-01-01 03 : 30 : 00.000"을 볼 수 있습니다! ! 올바른 타임 스탬프를 얻으려면 어떻게해야합니까? 도움을 주시면 감사하겠습니다.

Answer 1

NetFlow 헤더에는 전체 데이터 그램에 대한 타임 스탬프가 있습니다. 대부분의 경우 수출은 "첫 번째로 보이는"필드를 오프셋으로 사용합니다. nfdump가 해당 필드를 올바르게 해석하지 않을 수 있습니다. NetFlow를 디코딩 할 때 꽤 신뢰할만한 것으로 밝혀진 Wireshark의 캡처를 살펴 보는 것이 좋습니다. 이것은 또한 흐름 기록을 직접 검토하여 타임 스탬프가 실제로 그 작은 것을 가로 질러오고 있는지 또는 단지 오해되고 있는지를 확인할 수있게 해줍니다. NetFlow v9 또는 IPFIX를 캡처하는 경우 캡처에 템플릿 데이터 그램이 포함되어 있는지 확인해야합니다.

ESXi의 NetFlow가 타임 스탬프를 올바르게 내보내는 것이 아니라면 소프트웨어 흐름 내보내기를 실행하는 작은 가상 머신을 사용하여 모니터링 할 수 있습니다 (사용 가능한 무료 API가 여러 개 있습니다 - Google의 "무료 플로우 내보내기"). 무차별 모드의 인터페이스.