在安全網路分析中排除NetFlow/IPFIX遙測接收故障

已更新: 2024 年 5 月 23 日
文件 ID:222009

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

    簡介

    本文說明如何對安全網路分析(SNA)中的Netflow遙測接收進行疑難排解。

    必要條件

    • Cisco SNA知識
    • NetFlow/IPFIX知識

    需求

    • 7.5.0或更高版本中的安全網路分析
    • 7.5.0或更高版本的流量收集器
    • 以系統管理員身份訪問流量收集器
    • 以管理員身份訪問流量收集器的管理員UI

    疑難排解指南

    採用元件

    • 7.5.0上的SNA管理器和流量收集器
    • Wireshark軟體

    本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

    背景資訊

    流量收集器是一種SNA裝置，負責收集、處理和儲存傳送到安全網路分析的流量。對於NetFlow版本9或IPFIX，可以在NetFlow/IPFIX模板中包含多個欄位，以增加與網路流量相關的詳細資訊。但是，對於流量收集器處理這些流量，NetFlow/IPFIX模板中必須包含9個特定欄位。流量收集器不會處理包含無效模板的傳入流，因此SNA不會在Web UI或案頭客戶端下顯示這些導出器的流資訊。

    必填欄位

    NetFlow/IPFIX模板上必須包含用於遙測接收的下一個欄位。確保這些9個欄位包含在NetFlow/IPFIX模板中，以便Secure Network Analytics處理傳入流量。

    • 來源IP位址
    • 目的IP地址
    • 來源連線埠
    • 目的地連線埠
    • 第3層協定
    • 位元組計數
    • 封包計數
    • 流程開始時間
    • 流結束時間
    附註圖示

    注意：NetFlow/IPFIX配置中可以包含更多欄位，但是前面的欄位是遙測接收的安全網路分析的最低要求。

    故障排除過程

    驗證NetFlow/IPFIX遙測接收

    要確認SNA流量收集器是否從導出器接收和插入NetFlow/IPFIX遙測，請執行以下操作：

    1. 使用管理憑據登入到SNA流量收集器管理UI：https://<流量收集器IP地址>/swa/login.html
    2. 在左窗格中，導航到支援 > 瀏覽檔案
    3. 導航到下一個資料夾：sw > today > logs
    4. 點選sw.log檔案，將其下載到您的本地電腦，並在文本編輯器中打開。
    5. 在日誌底部搜尋這些行，每五分鐘建立一次此摘要：
    18:45:00 I-sch-t: process_5_min_period: begin
18:45:00 I-sch-t: process_5_min_period: periods(177)
18:45:00 S-per-t: Performance Period 177
18:45:00 S-per-t: 	Engine status Status normal
18:45:00 S-per-t: 	Processed 6948 flows at 24 fps this period
18:45:00 S-per-t: 	Processed 4226 biflows at 15 fps this period
18:45:00 S-per-t: 	Dropped 0 flows this period
18:45:00 S-per-t: 	Discarded 4358 flows this period due to insufficient template data
18:45:00 S-per-t: 	Processed 1838743 flows at 35 fps today
18:45:00 S-per-t: 	Dropped 0 flows today
18:45:00 S-per-t: 	Discarded 11069 flows today due to insufficient template data
18:45:00 S-per-t: 	Process instance 0 processed 3372 flows at 12 fps this period
18:45:00 S-per-t: 	Process instance 0 processed 2066 biflows at 7 fps this period
18:45:00 S-per-t: 	Process instance 1 processed 3576 flows at 12 fps this period
18:45:00 S-per-t: 	Process instance 1 processed 2160 biflows at 8 fps this period
18:45:00 S-per-t: 	Inserted 2048 flow stats at 7 fps this period
18:45:00 S-per-t: 	Inserted 2013 interface stats at 7 fps this period
18:45:00 S-per-t: 	Inserted 470932 flow stats at 9 fps today
18:45:00 S-per-t: 	Inserted 678994 interface stats at 13 fps today
    附註圖示

    註：行8表示由於上一期間模板資料不足，已放棄流。

    驗證NetFlow/IPFIX模板

    確認NetfFlow/IPFIX模板中包含的欄位：

    1. 使用sysadmin憑據登入到SNA流量收集器CLI。

    2. 在SystemConfig選單上，導航至：高級 > 資料包捕獲

    3. 輸入未在SNA上顯示流的導出器的資訊：

    SS顯示資料包捕獲對話方塊

    4. 等候處理完成。

    5. 要下載檔案，請使用admin憑據登入到SNA流量收集器管理UI：https://<流量收集器IP地址>/swa/login.html

    6. 在左窗格中，導航到支援 > 瀏覽檔案

    7. 瀏覽至下一個檔案夾：tcpdump

    8. 按一下資料包捕獲檔案，將其下載到本地電腦，並在Wireshark上打開：

    SS顯示如何在瀏覽檔案對話方塊中下載檔案

    9.確定接收NetFlow/IPFIX模板的幀。

    SS在Wireshark中顯示模板

    10. 驗證樣版上是否顯示9個必要欄位

    SS顯示wireshark中netflow記錄中找到的必填欄位

    附註圖示

    注意：請注意，在模板上，SNA接收遙測所需的9個必填欄位中只有8個，對於此方案，缺少BYTES欄位。

    增加缺少的欄位後驗證NetFlow/IPFIX遙測接收

    在更改後，確認SNA流量收集器是否從導出器接收和插入NetFlow/IPFIX遙測：

    1. 使用admin憑據登入到SNA流量收集器管理UI：https://<流量收集器IP地址>/swa/login.html
    2. 在左窗格中，導航到支援 > 瀏覽檔案
    3. 導航到下一個資料夾：sw > today > logs
    4. 點選sw.log檔案，將其下載到您的本地電腦，並在文本編輯器中打開。
    5. 在日誌底部搜尋這些行
    19:20:00 I-sch-t: process_5_min_period: begin
19:20:00 I-sch-t: process_5_min_period: periods(184)
19:20:00 S-per-t: Performance Period 184
19:20:00 S-per-t: 	Engine status Status normal
19:20:00 S-per-t: 	Processed 10992 flows at 37 fps this period
19:20:00 S-per-t: 	Processed 4176 biflows at 14 fps this period
19:20:00 S-per-t: 	Dropped 0 flows this period
19:20:00 S-per-t: 	Discarded 0 flows this period due to insufficient template data
19:20:00 S-per-t: 	Processed 1896017 flows at 35 fps today
19:20:00 S-per-t: 	Dropped 0 flows today
19:20:00 S-per-t: 	Discarded 36041 flows today due to insufficient template data
19:20:00 S-per-t: 	Process instance 0 processed 5575 flows at 19 fps this period
19:20:00 S-per-t: 	Process instance 0 processed 2195 biflows at 8 fps this period
19:20:00 S-per-t: 	Process instance 1 processed 5417 flows at 19 fps this period
19:20:00 S-per-t: 	Process instance 1 processed 1981 biflows at 7 fps this period
19:20:00 S-per-t: 	Inserted 2878 flow stats at 10 fps this period
19:20:00 S-per-t: 	Inserted 4510 interface stats at 16 fps this period
19:20:00 S-per-t: 	Inserted 486734 flow stats at 9 fps today
19:20:00 S-per-t: 	Inserted 696260 interface stats at 13 fps today
    附註圖示

    註：第8行指示在上一個期間沒有丟棄的流。

    驗證NetFlow/IPFIX遙測接收埠

    要確認SNA流量收集器是否在正確的埠上接收來自導出器的NetFlow/IPFIX遙測，請執行以下操作：

    1. 使用具有管理員許可權的使用者登入到SNA Web UI。

    2. 在「頂端功能表」上，切換作業選項至「設定」，然後選擇「流量收集器」

    3. 確認SNA流量收集器使用導出器配置為傳送NetFlow/IPFIX的相同埠

    SS顯示了SNA的監控埠對話方塊

    附註圖示

    注意： NetFlow的預設埠是2055，但您可以選擇另一個埠，請確保在流量收集器上的首次設定過程中使用同一埠。

    驗證是否已啟用NetFlow/IPFIX遙測接收NetFlow選項

    要確認是否已啟用NetFlow/IPFIX遙測接收的SNA流量收集器選項，請執行以下操作：

    1. 使用管理員憑據登入到SNA流量收集器管理UI：https://<流量收集器IP地址>/swa/login.html
    2. 在左窗格中，導航到支援 > 高級設定
    3. 確認選項enable_netflow 設定為1：

    SS顯示SNA中的enable netflow advanced選項

    相關資訊

    修訂記錄

    修訂 發佈日期 意見
    1.0
    23-May-2024
    初始版本
    TAC Authored

    由思科工程師貢獻

    • 安東尼歐·埃爾南德斯·阿爾曼扎
      SNA TAC
    • 馬修·羅賓斯
      SNA TAC

    這份文件是否有所幫助？

    Feedback意見

    讓思科協助您

    本文件適用於這些產品