![Udp 会话 Netflow](https://linux22.com/image/702255/Udp%20%E4%BC%9A%E8%AF%9D%20Netflow.png)
netflow 如何定义 udp 会话的结束。也就是说,据我所知,随着时间的推移,动态端口没有请求时必须有一定超时,之后才会形成此端口的新会话。如果是,它是如何实现的,如果超时,持续时间是多长
答案1
这是一个可以写很多内容的领域,但这里简要列出几点:
1.) 任何 Netflow 实现中都有一系列计时器,当超过这些计时器时,就会导致流记录被导出并从缓存中刷新。
2.) 其中一个计时器是最大计时器。这里的想法是,即使是正在进行的流也会导致生成记录。长寿命流实际上可能会生成数十(或数百)个连续记录。一个很好的例子是,在最大计时器为 5 分钟的实现中,TCP 流持续 60 分钟。该流实际上可能由 12(+/-)条记录表示。换句话说,即使没有 FIN(或根本没有结束会话),也会生成记录。
3.) 另一个计时器是非活动/空闲计时器。在这种情况下,如果在指定时间内未看到给定流的流量X秒后,缓存条目将超时,记录将被导出。这就是 Netflow 如何识别任何非 TCP 流的结束(提示:并非所有实现都能正确处理 TCP FIN 作为关闭方法)。这里有一个关键点需要考虑:如果这个计时器很长,那么您可能无法非常准确地了解给定流程的实际结束时间。
4.) 更有趣的是,如果有足够的流量超出 Netflow 收集器上的缓存,那么许多实现实际上会提前淘汰流量以腾出空间。理想情况下,选择空闲时间较长的流量,但如果缓存耗尽的情况变得足够严重,我们实际上可能会达到退化状态,即每个数据包都会生成一个新流量。顺便说一句,这就是为什么在大多数现代 DC 交换机中,完整(即未采样)Netflow 几乎已成为过去,因为流量缓存的绝对大小变得完全无法维持。
因此,一如既往,魔鬼藏在细节中。Netflow 实现在缓存大小和采样率、这些计时器(以及其他一些计时器)可以设置多低(或多高)、它们是否正确跟踪 TCP 标志等方面各不相同。在 IPFIX/v9 中计算时,它会变得更加复杂,因为本地可编程聚合在流收集中增加了另一个中介级别,等等。