Faltan datos en la recopilación de flujo de red

El agente ktranslate solo puede recopilar un tipo de plantilla de flujo configurada por el argumento -nf.source en tiempo de ejecución, cuyo valor predeterminado es auto. Esto le indica ktranslate que espere cualquier plantilla de NetFlow v5 | NetFlow v9 | sFlow | IPFIX para que pueda traducir los paquetes. Un problema común es configurar ktranslate para que escuche un tipo específico de plantilla de flujo y luego exportar otro tipo al agente. Debe ejecutar un contenedor separado para cualquier plantilla que no esté cubierta por auto.

Otro error común aquí es exportar su telemetría de flujo a un agente ktranslate , mientras apunta a múltiples puertos como destino. En este escenario, necesita ejecutar varios agentes ktranslate , cada uno configurado con un valor diferente para -nf.port en tiempo de ejecución (el valor predeterminado es 9995). Es posible que también necesite actualizar la configuración del exportador de flujo en sus dispositivos de red de origen para apuntar a su puerto específico.

Cada proveedor tendrá su propia documentación sobre cómo configurar correctamente sus dispositivos para la exportación de flujos de red. Las versiones más avanzadas como NetFlow v9, IPFIX y sFlow tienen opciones que permiten al administrador personalizar los campos que se recopilan y exportan. Editarlos puede deshabilitar efectivamente la capacidad de procesar correctamente los registros de flujo por parte de ktranslate.

Los siguientes campos son required:

Cada proveedor tendrá su propia documentación sobre cómo observar los contadores de exportación de flujo a través de la CLI/UI de su dispositivo. La falta de crecimiento del contador en el dispositivo indica que la exportación de flujo no está configurada correctamente en el dispositivo.

Tanto el contenedor docker como las opciones de implementación del servicio Linux para ktranslate utilizan la red del host para recibir datos en el puerto asignado. Para validar que el host reciba los registros de flujo, puede usar la utilidad tcpdump para crear un archivo de captura de paquetes (.pcap) que luego puede investigar en Wireshark.

La ejecución de este comando configurará tcpdump para capturar cada paquete entrante en todas las interfaces del host y escribirá el resultado en un archivo en el directorio actual:

$
sudo tcpdump -s 0 -i any -w dump_capture.pcap

Tenga en cuenta que puede agregar varios argumentos a tcpdump; el elemento más importante aquí es el archivo de salida que puede usar para analizarlo más adelante. Generar los resultados en STDOUT crea un valor limitado para los propósitos actuales.

Una vez que tenga este archivo, la siguiente sección le mostrará cómo analizar los resultados.

Siga estos pasos para utilizar Wireshark para inspeccionar el archivo de captura de paquetes.