linux – 将PCAP跟踪转换为NetFlow格式

我想将一些PCAP跟踪转换为Netflow格式,以便使用netflow工具进行进一步分析.有没有办法做到这一点？

具体来说,我想使用“flow-export”工具,以便从netflow跟踪中提取一些感兴趣的字段,如下所示：

$flow-export -f2 -mUNIX_SECS,SYSUPTIME,DPKTS,DOCTETS < mynetflow.trace

在这种情况下,通过使用以下命令转换PCAP文件来获取mynetflow.trace文件：

$nfcapd -p 12345 -l ./ 

$softflowd -n localhost:12345 -r mytrace.pcap

这会生成一个netflow跟踪,但流量导出无法正确使用,因为它的格式不正确.我还尝试将以下命令的输出传递给flow-export,如下所示：

$flow-import -V1 -z0 -f0 

但是第一个命令的输出生成了零时间戳.

有任何想法吗？

最佳答案

我看了一下flow-export文档,并且pcap实现存在一些公认的错误.不确定它们是否已修复.

根据捕获的内容,您还有其他几种选择：
如果您从链接捕获了直接流量并且想要将其转换为NetFlow格式,则可以下载一个免费的netflow导出工具,该工具在此处读取PCAP：

FlowTraq Free Exporter

或者在这里：

NProbe

如果您捕获了传输中的NetFlow流量(比如UDP / 2055),那么您可以使用任何Linux发行版中提供的“tcpreplay”等工具重放它.

原文地址：https://www.jb51.cc/linux/440982.html

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 [e-mail] 举报，一经查实，本站将立刻删除。