La collecte des flux réseau manque de données

L'agent ktranslate ne peut collecter qu'un seul type de modèle de flux configuré par l'argument -nf.source lors de l'exécution, dont la valeur par défaut est auto. Cela indique ktranslate d'attendre tous les modèles de NetFlow v5 | NetFlow v9 | sFlow | IPFIX afin qu'il puisse traduire les paquets. Un problème courant consiste à configurer ktranslate pour écouter un type spécifique de modèle de flux, puis à exporter un autre type dans l'agent. Vous devez exécuter un conteneur séparé pour tous les modèles non couverts par auto.

Une autre erreur courante ici consiste à exporter votre télémétrie de flux vers un agent ktranslate , tout en ciblant plusieurs ports comme destination. Dans ce scénario, vous devez exécuter plusieurs agents ktranslate , chacun étant défini sur une valeur différente pour -nf.port au moment de l'exécution (la valeur par défaut est 9995). Vous devrez peut-être également mettre à jour la configuration de l'exportateur de flux sur vos périphériques réseau source pour cibler leur port spécifique.

Chaque fournisseur aura sa propre documentation sur la configuration correcte de ses appareils pour l'exportation des flux réseau. Les versions plus avancées comme NetFlow v9, IPFIX et sFlow disposent d'options qui permettent à l'administrateur de personnaliser les champs collectés et exportés. La modification de ces éléments peut effectivement désactiver la capacité de traiter correctement les enregistrements de flux par ktranslate.

Les champs suivants sont required:

Chaque fournisseur aura sa propre documentation sur le monitoring des compteurs d'exportation de flux via l'interface CLI/UI de son appareil. L'absence de croissance du compteur sur l'appareil indique que l'exportation du flux n'est pas configurée correctement sur l'appareil.

Les options de déploiement du conteneur Docker et du service Linux pour ktranslate utilisent le réseau de l'hôte pour recevoir des données sur le port mappé. Afin de valider que les enregistrements de flux sont reçus par l'hôte, vous pouvez utiliser l'utilitaire tcpdump pour créer un fichier de capture de paquets (.pcap) que vous pourrez ensuite examiner dans Wireshark.

L'exécution de cette commande définira tcpdump pour capturer chaque paquet entrant sur toutes les interfaces de l'hôte et écrire la sortie dans un fichier dans le répertoire actuel :

$
sudo tcpdump -s 0 -i any -w dump_capture.pcap

Notez que vous pouvez ajouter plusieurs arguments à tcpdump, l'élément le plus important ici est le fichier de sortie que vous pouvez utiliser pour une analyse ultérieure. La sortie des résultats dans STDOUT crée une valeur limitée pour les objectifs actuels.

Une fois que vous avez ce fichier, la section suivante vous montrera comment analyser les résultats.

Suivez ces étapes pour utiliser Wireshark pour inspecter le fichier de capture de paquets.