एक पीसीएपी ट्रेस को नेटफ्लो प्रारूप में परिवर्तित करना

Question

मैं कुछ पीसीएपी निशान नेटफ्लो प्रारूप में नेटफ्लो प्रारूपों के साथ आगे विश्लेषण के लिए कनवर्ट करना चाहता हूं। क्या उसे करने का कोई तरीका है?

विशेष रूप से, मैं इस प्रकार के क्रम में "प्रवाह निर्यात" उपकरण का उपयोग करने के लिए एक NetFlow का पता लगाने से ब्याज की कुछ क्षेत्रों निकालना चाहते हैं:

$ flow-export -f2 -mUNIX_SECS,SYSUPTIME,DPKTS,DOCTETS < mynetflow.trace 

इस मामले में, mynetflow.trace फ़ाइल से लिया जाता है निम्न कमांड का प्रयोग एक PCAP फ़ाइल परिवर्तित:

$ nfcapd -p 12345 -l ./ 

$ softflowd -n localhost:12345 -r mytrace.pcap 

यह एक NetFlow ट्रेस उत्पन्न करता है, लेकिन यह, सही ढंग से प्रवाह निर्यात द्वारा नहीं किया जा सकता है क्योंकि यह सही स्वरूप में नहीं है।

$ flow-import -V1 -z0 -f0 <mynetflow.trace | flow-export -f2 -mUNIX_SECS,SYSUPTIME,DPKTS,DOCTETS 

लेकिन पहले आदेश के उत्पादन शून्य timestamps उत्पन्न: मैं निम्न आदेश के उत्पादन प्रवाह निर्यात करने के लिए इस प्रकार पाइप के लिए भी कोशिश की।

कोई विचार?

Answer 1

नेटफ्लो प्रारूप काफी विस्तृत और समृद्ध है। सटीक spec के लिए here देखें।

Answer 2

मैंने प्रवाह-निर्यात प्रलेखन को देखा और पैक अप कार्यान्वयन के साथ कुछ स्वीकृत बग हैं। सुनिश्चित नहीं है कि वे अभी तक तय हैं।

आपके कैप्चर की सामग्री के आधार पर, आपके पास कुछ अन्य विकल्प हैं: यदि आपने लिंक से सीधे ट्रैफ़िक कैप्चर किया है और आप इसे नेटफ्लो प्रारूप में बदलना चाहते हैं तो आप एक मुफ्त नेटफ्लो निर्यातक टूल डाउनलोड कर सकते हैं जो पढ़ता है यहाँ PCAP:

FlowTraq Free Exporter

या यहाँ:

NProbe

यदि आप पारगमन में NetFlow यातायात पर कब्जा कर लिया (जैसे कि यूडीपी/2055), तो आप किसी भी लिनक्स वितरण में उपलब्ध 'tcpreplay' जैसे टूल के साथ इसे फिर से चला सकते हैं।