如何找出我的nfcapd捕獲的NetFlow版本？

Question

我的NetFlows是什麼版本？

我有一臺將NetFlow導出到我的NetFlow收集器的設備。我的收藏家正在收集與nfcapd。我能找到的唯一信息是nfcapd將捕獲不同的NetFlow版本"transparently"。

我的網絡設備不告訴我它正在輸出流的版本。我需要探索一個不同的NetFlow收集器，以便了解我的需求。

我可以聯繫網絡設備的供應商，但我有幾個設備導出NetFlow，所以我寧願在收集器端檢查這些流的版本。有沒有辦法用nfsen/nfcapd/nfdump工具來做到這一點？我沒有任何運氣。

Answer 1

實際上只有兩個版本可能是：NetFlow v5或NetFlow v9（IPFIX本質上是v9）。版本號包含在數據報中，因此找出它導出的版本的最簡單方法是嗅探流量，如Wireshark，它將流量列爲CFLOW。每個數據報中的前兩個字節將是版本號。