NetFlow 데이터 패킷에서 흐름의 절대 시간을 결정하는 가장 좋은 방법은 무엇입니까? 상대적 시간 정보 만이 흐름에 포함되는 것처럼 보입니다 (흐름의 시작과 끝의 SysUpTime).NetFlow 타임 스탬프
Netflow v5 및 v9의 경우 패킷 헤더의 Unix Seconds SysUptime 필드를 통해 계산할 수 있습니다. UnixSeconds - SysUptime + FlowStartSysUptime. 그러나 UnixSeconds 필드의 정밀도는 1 초입니다.
IPFIX (v10)에서 헤더는 패킷이 생성 된 시스템 시간 만 포함하고 시스템 가동 시간은 포함하지 않습니다.
일부 IPFIX 수출 업체는 flowStartSeconds (150), flowEndSeconds (151)와 같은 최신 절대 타임 스탬프 필드를 사용하여이 문제를 방지합니다. 밀리 초 정밀도, 마이크로 초 정밀도 등에 대한 변형이 있습니다. 이 http://www.iana.org/assignments/ipfix/ipfix.xhtml
(또한, IPFIX 헤더에 절대 타임 스탬프는 패킷이 실제로 완료하고 보낼 때에 근접하도록되어 있습니다, 그래서 당신은 적어도 수출 사이의 오프셋 시계를 모델링에 총을 가지고 : 참조 당신의 컬렉터 : https://tools.ietf.org/html/rfc7011#page-14)
하지만 지적대로 IPFIX 수출이 유산 flowEndSysUpTime (21)와 flowStartSysUpTime (22) 필드 보낼 때 문제가 발생한다. 헤더 타임 스탬프가 sysUpTimeSeconds로도 표현 되었기 때문에 NetFlow v1-9에서는 괜찮 았지만 IPFIX를 사용하면 좌초가됩니다.
duration = flowEndSysUpTime - flowStartSysUpTime
start = (NOW - duration)
end = NOW
또 다른 방법은 적어도 일부 흐름이 즉시 플러시 가정하는 것입니다
하나의 간단한 해결책은 흐름이 항상 즉시 플러시한다고 가정 지속 시간을 계산하고, 지금 그들을 정렬하는 것입니다
boot-time = MIN(NOW - flowEndSysUpTime)
start = boot-time + flowStartSysUpTime
end = boot-time + flowEndSysUpTime
을하지만 당신은 부팅 시간 데비는 경우에 대한 추정의 단계 변화를 감지하는주의해야 :하고 flowEndSysUpTime 번호를 사용하여 각 장치의 부팅 시간에 대한 추정을 유지 ce가 실제로 다시 부팅됩니다. 그리고이 단계 변경은 두 번 빠르게 연속해서 재부팅 된 경우 ~ 30 초 정도입니다. 생각할 게있어 -하지만 이러한 레거시 필드는 1 초까지만 정확하기 때문에 똑똑하다는 것이 문제의 가치가 있다는 것은 분명하지 않습니다.