네트워크 흐름 수집에 데이터가 누락되었습니다.

ktranslate 에이전트는 런타임 시 -nf.source 인수로 구성된 한 가지 유형의 흐름 템플릿만 수집할 수 있으며 기본값은 auto 입니다. 이는 ktranslate NetFlow v5 의 템플릿을 예상하도록 지시합니다 | NetFlow v9 | sFlow | IPFIX 이므로 패킷을 변환할 수 있습니다. 일반적인 문제는 특정 유형의 흐름 템플릿을 수신하도록 ktranslate 설정한 다음 다른 유형을 에이전트로 내보내는 것입니다. auto 에서 다루지 않는 템플릿에 대해서는 별도의 컨테이너를 실행해야 합니다.

여기서 또 다른 일반적인 실수는 여러 포트를 대상으로 지정하면서 흐름 원격 분석을 ktranslate 에이전트로 내보내는 것입니다. 이 시나리오에서는 런타임 시 -nf.port 에 대해 각각 다른 값으로 설정된 여러 ktranslate 에이전트를 실행해야 합니다(기본값은 9995). 특정 포트를 대상으로 지정하려면 소스 네트워크 장치에서 흐름 내보내기 구성을 업데이트해야 할 수도 있습니다.

각 공급업체에는 네트워크 흐름 내보내기를 위해 장치를 올바르게 구성하는 방법에 대한 자체 문서가 있습니다. NetFlow v9, IPFIX 및 sFlow 와 같은 고급 버전에는 관리자가 수집하고 내보내는 필드를 사용자 정의할 수 있는 옵션이 있습니다. 이를 편집하면 ktranslate 에 의한 흐름 레코드를 올바르게 처리하는 기능이 효과적으로 비활성화될 수 있습니다.

다음 필드는 필수 입니다.

각 공급업체에는 장치 CLI/UI를 통해 흐름 내보내기 카운터를 관찰하는 방법에 대한 자체 문서가 있습니다. 장치에서 카운터 증가가 부족하다는 것은 흐름 내보내기가 장치에서 올바르게 구성되지 않았음을 나타냅니다.

ktranslate 에 대한 Docker 컨테이너와 Linux 서비스 배포 옵션은 모두 호스트 네트워크를 사용하여 매핑된 포트에서 데이터를 수신합니다. 흐름 레코드가 호스트에서 수신되고 있는지 확인하려면 tcpdump 유틸리티를 사용하여 나중에 Wireshark 에서 조사할 수 있는 패킷 캡처(.pcap) 파일을 생성할 수 있습니다.

이 명령을 실행하면 호스트의 모든 인터페이스에서 들어오는 모든 패킷을 캡처하고 현재 디렉터리의 파일에 출력을 쓰도록 tcpdump 설정됩니다.

$
sudo tcpdump -s 0 -i any -w dump_capture.pcap

tcpdump 에 여러 인수를 추가할 수 있습니다. 여기서 가장 중요한 항목은 나중에 분석에 사용할 수 있는 출력 파일입니다. 결과를 STDOUT 에 출력하면 현재 목적에 따라 제한된 가치가 생성됩니다.

이 파일이 있으면 다음 섹션에서는 결과를 분석하는 방법을 보여줍니다.

Wireshark를 사용하여 패킷 캡처 파일을 검사하려면 다음 단계를 따르세요.