Faltam dados na coleta de fluxo de rede

O agente ktranslate só pode coletar um tipo de modelo de fluxo configurado pelo argumento -nf.source no tempo de execução, cujo padrão é auto. Isso diz ktranslate para esperar quaisquer modelos de NetFlow v5 | NetFlow v9 | sFlow | IPFIX para que possa traduzir os pacotes. Um problema comum é configurar ktranslate para escutar um tipo específico de modelo de fluxo e depois exportar outro tipo para o agente. Você precisa executar contêineres separados para quaisquer modelos não cobertos por auto.

Outro erro comum aqui é exportar sua telemetria de fluxo para um agente ktranslate , ao mesmo tempo em que direciona várias portas como destino. Neste cenário, você precisa executar vários agentes ktranslate , com cada um definido com um valor diferente para -nf.port no tempo de execução (o padrão é 9995). Também pode ser necessário atualizar a configuração do exportador de fluxo nos dispositivos de rede de origem para destino à porta específica.

Cada fornecedor terá sua própria documentação sobre como configurar adequadamente seus dispositivos para exportação de fluxos de rede. As versões mais avançadas como NetFlow v9, IPFIX e sFlow possuem opções que permitem ao administrador personalizar os campos que estão sendo coletados e exportados. Editá-los pode desativar efetivamente a capacidade de processar corretamente os registros de fluxo por ktranslate.

Os seguintes campos são required:

Cada fornecedor terá sua própria documentação sobre como observar os contadores de exportação de fluxo por meio da CLI/interface do dispositivo. A falta de crescimento do contador no dispositivo indica que a exportação de fluxo não está configurada corretamente no dispositivo.

Tanto as opções de implantação do Docker contêiner quanto do serviço Linux para ktranslate utilizam a rede do host para receber dados na porta mapeada. Para validar que os registros de fluxo estão sendo recebidos pelo host, você pode usar o utilitário tcpdump para criar um arquivo de captura de pacotes (.pcap) que poderá investigar posteriormente no Wireshark.

A execução deste comando configurará tcpdump para capturar todos os pacotes recebidos em todas as interfaces do host e gravar a saída em um arquivo no diretório atual:

$
sudo tcpdump -s 0 -i any -w dump_capture.pcap

Observe que você pode adicionar vários argumentos ao tcpdump, o item mais importante aqui é o arquivo de saída que você pode usar para análise posterior. A saída dos resultados em STDOUT cria um valor limitado para os propósitos atuais.

Depois de ter esse arquivo, a próxima seção mostrará como analisar os resultados.

Siga estas etapas para usar o Wireshark para inspecionar o arquivo de captura de pacotes.