我想将一些PCAP跟踪转换为Netflow格式，以使用netflow工具进行进一步分析。有什么办法吗？
具体来说，我想使用“流导出”工具来从netflow跟踪中提取一些感兴趣的字段，如下所示:
$ flow-export -f2 -mUNIX_SECS,SYSUPTIME,DPKTS,DOCTETS < mynetflow.trace
在这种情况下，通过使用以下命令转换PCAP文件来获取mynetflow.trace文件:
$ nfcapd -p 12345 -l ./
$ softflowd -n localhost:12345 -r mytrace.pcap
这样会生成一个netflow跟踪，但由于格式不正确，因此无法正确用于流导出。我还尝试将以下命令的输出通过管道传递到flow-export，如下所示:
$ flow-import -V1 -z0 -f0 <mynetflow.trace | flow-export -f2 -mUNIX_SECS,SYSUPTIME,DPKTS,DOCTETS
但是第一个命令的输出生成零时间戳。
有任何想法吗？
最佳答案
我看了一下flow-export文档，发现pcap实现中存在一些公认的错误。不确定它们是否已修复。
根据捕获内容的不同，您还有两个其他选择:
如果您从链接捕获了直接流量，并且想要将其转换为NetFlow格式，则可以在此处下载一个免费的netflow导出器工具，该工具读取PCAP:
FlowTraq Free Exporter
或在这里:
NProbe
如果您捕获了传输中的NetFlow流量(例如UDP/2055)，则可以使用任何Linux发行版中提供的“tcpreplay”之类的工具来重放它。
关于linux - 将PCAP跟踪转换为NetFlow格式，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/7523366/