NetFlow V9协议解析使用教程(二)-配置，采集，处理NetFlow

灰太狼 2022-01-26 07:41 1239阅读 0赞

[NetFlow V9协议解析使用教程（一）][NetFlow V9]  
[NetFlow V9协议解析使用教程(二)-配置，采集，处理NetFlow][NetFlow V9_-_NetFlow]  
**一.实践环境**  
1.不是每一台交换机或者路由器都支持Netflow,如果不支持可以使用Fprobe监听流量，生成Netflow  
2.采用的是中兴路由器，其它路由器如何设置要看它的用户手册了，但这里提供思路参考

比如现在想监听路由器1网口的双向流量，然后将NetFlow发往某个可达到的IP地址(例子:192.168.20.12)  
**中兴路由器配置如下:**

ZXR10(config)#flow exporter exp //配置NetFlow输出策略,如果想要删除,则no flow exporter exp
    ZXR10(config-flow-exporter)#destination ipv4-address 192.168.20.12 //将NetFlow数据报发送到192.168.20.12
    ZXR10(config-flow-exporter)#transport udp 555 //端口为555,OSSIM接收的端口为555
    ZXR10(config-flow-exporter)#export-protocol netflow-v9 //NetFlow的版本为V9
    ZXR10(config-flow-exporter)#template data refresh 20 //将模板按照输出的netflow报文个数进行重复发送，范围1~600，默认值为20。
    ZXR10(config-flow-exporter)#template data timeout 30 //将模板按照时间重发，范围1~86400，默认值是600秒。
    ZXR10(config-flow-exporter)#exit 
    
    ZXR10(config)#sampler sam //配置NetFlow采样策略
    ZXR10(config-sampler)#mode deterministic 1-out-of 1 //deterministic表示采样方式为非随机采样，1-out-of 1表示对所有包都进行采样
    ZXR10(config-sampler)#exit 
    
    ZXR10(config)#flow record rec //创建NetFlow记录策略，并设置关键字段和非关键字段,其中match为关键字段，collect为非关键字段
    ZXR10(config-flow-record)#match ipv4 source address 
    ZXR10(config-flow-record)#match ipv4 destination address 
    ZXR10(config-flow-record)#match transport source-port 
    ZXR10(config-flow-record)#match transport destination-port 
    ZXR10(config-flow-record)#collect counter bytes //采集的计数单位
    ZXR10(config-flow-record)#collect counter packets 
    ZXR10(config-flow-record)#collect timestamp absolute first-millisec //flow第一个数据报到达的时间
    ZXR10(config-flow-record)#collect timestamp absolute last-millisec //flow最后一个数据报到达的时间
    ZXR10(config-flow-record)#exit 
    
    ZXR10(config)#flow monitor mo //配置监测策略,这个配置和路由器发送Netflow数据报的速率有关
    ZXR10(config-flow-monitor)#cache entries 16 //配置缓存大小，单位为flow的个数，最小16，即缓存的flow数目达到16才会发送NetFlow数据报
    ZXR10(config-flow-monitor)#cache timeout active 60 //设置flow活跃老化时间
    ZXR10(config-flow-monitor)#cache timeout inactive 10 //设置flow非活跃老化时间
    ZXR10(config-flow-monitor)#exporter exp //关联到NetFlow输出策略exp
    ZXR10(config-flow-monitor)#record rec //关联到NetFlow输出的记录格式策略rec
    ZXR10(config-flow-monitor)#exit 
    
    ZXR10(config)#interface gei-1/1 //配置NetFlow接口
    ZXR10(config-if-gei-1/1)#no shutdown
    ZXR10(config-if-gei-1/1)#ip flow monitor mo sampler sam input //在接口上设置对IPv4报文的采样
    ZXR10(config-if-gei-1/1)#ip flow monitor mo sampler sam output
    ZXR10(config-if-gei-1/1)#exit
    ZXR10(config)#show running-config ipflow //查看NetFlow配置

**二.采集NetFlow数据包**  
**1.路由器发送Netflow数据包的形式为（其它路由器可能有别的形式，形式类别参考第一篇写的）:**  
(1)定时发送只带模板信息的Netflow数据包  
(2)发送NetFlow数据包，不带模板信息

**2.采集NetFlow数据包的工具:**  
**(1)nfdump //用于采集和处理Netflow数据包，是个工具集**  
nfdump-1.6.17.zip  
安装:  
unzip nfdump-1.6.17.zip  
cd nfdump-1.6.17  
./configure  
make  
make install  
然后再/usr/local/bin目录下会有nfcapd,nfdump,nfanon,nfexpire,nfreplay组件  
**nfcapd用于抓Netflow包并存储在磁盘，运行命令**  
/usr/local/bin/nfcapd -w -D -B 200000 -S 7 -p 555 -l /IDE/netflow  
**nfdump用于解析存储下来的netflow文件，也可以进行统计汇聚**  
nfdump -r nfcapd.201905020900 -o line  
参考  
[https://blog.csdn.net/zhongbeida\_xue/article/details/62218611][https_blog.csdn.net_zhongbeida_xue_article_details_62218611]  
**(2)nfsen //用于可视化和统计汇聚netflow数据文件**  
**(3)OSSIM其实也就是用的nfdump+nfsen**  
![在这里插入图片描述][20190528152159442.PNG]

[NetFlow V9]: https://blog.csdn.net/u011311291/article/details/90412984
[NetFlow V9_-_NetFlow]: https://blog.csdn.net/u011311291/article/details/90640195
[https_blog.csdn.net_zhongbeida_xue_article_details_62218611]: https://blog.csdn.net/zhongbeida_xue/article/details/62218611
[20190528152159442.PNG]: /images/20220126/9992fcd0ae66445e9496cf2ea3104e98.png

发表评论取消回复

表情：

评论列表（有 0 条评论，1239人围观）

还没有评论，来说两句吧...

相关阅读

相关使用fprobe生成Netflow

以在https://sourceforge.net/projects/fprobe/下载fprobe ubuntu deb下载地址 http://ftp.uni-...

亦凉/ 2024年04月17日 05:36/ 0 赞/ 41 阅读

相关监控网络流量“三大件”：SFlow、NetFlow、SNMP

你好，这里是网络技术联盟站。网络流量监控和管理对于确保网络的峰值性能至关重要。随着网络规模和复杂性的增加，选择合适的监控工具和协议变得愈发重要。在这篇文章中，我们将比较SF

蔚落/ 2023年10月16日 18:03/ 0 赞/ 55 阅读

相关 Netflow v9学习笔记

由于工作需要，对netflow进行了一定的调研和学习，总结如下。 1、什么是NetFlow 　　NetFlow是由Cisco创造的一种流量轮廓监控技术，简单来说就是一种数据

向右看齐/ 2023年08月17日 17:31/ 0 赞/ 122 阅读

相关 NetFlow Vs. sFlow: Which is better?

最近主要工作精力在BGP方面，BGP环境搭建好后又上了DDos高防，所以需要配置sFlow，NetFlow；以下是网上关于NetFlow，sFlow的讲解，转载以作学习记录

系统管理员/ 2023年06月12日 08:47/ 0 赞/ 3 阅读

相关 phpCMS V9 - 使用教程

目录环境搭建认识后台管理系统我的面板添加管理站点发布点管理基本设置

布满荆棘的人生/ 2023年02月26日 04:27/ 0 赞/ 2 阅读

相关 SMB/CIFS协议解析（二）

一、拷贝文件（远程-->本地） ![Center][] 1、SMB\_COM\_NT\_CREATE\_ANDX (0xa2)

约定不等于承诺〃/ 2022年08月06日 12:17/ 0 赞/ 197 阅读

相关 Jetty9架构解析-Jetty配置及部署（二）

[https://blog.csdn.net/elinespace/article/details/72864550][https_blog.csdn.net_elinespa

落日映苍穹つ/ 2022年05月18日 21:07/ 0 赞/ 731 阅读

相关 netflow源文件转换txt

场景描述： netflow是cisco路由器中产生的flow元数据，默认情况下会每5分钟从cache中对外吐一次。 netflow相关信息见http://www.cisco

水深无声/ 2022年05月12日 11:34/ 0 赞/ 145 阅读

相关 NetFlow V9协议解析使用教程（一）

[NetFlow V9协议解析使用教程（一）][NetFlow V9] [NetFlow V9协议解析使用教程(二)-配置，采集，处理NetFlow][NetFlow V9

柔情只为你懂/ 2022年01月29日 10:29/ 0 赞/ 1079 阅读

相关 NetFlow V9协议解析使用教程(二)-配置，采集，处理NetFlow

[NetFlow V9协议解析使用教程（一）][NetFlow V9] [NetFlow V9协议解析使用教程(二)-配置，采集，处理NetFlow][NetFlow V9

灰太狼/ 2022年01月26日 07:41/ 0 赞/ 1239 阅读