![目标端口为 1025,257 且协议为 ipv6-icmp 的 Netflow 记录](https://linux22.com/image/772475/%E7%9B%AE%E6%A0%87%E7%AB%AF%E5%8F%A3%E4%B8%BA%201025%2C257%20%E4%B8%94%E5%8D%8F%E8%AE%AE%E4%B8%BA%20ipv6-icmp%20%E7%9A%84%20Netflow%20%E8%AE%B0%E5%BD%95.png)
我有一些来自一组路由器的 Netflow 记录。这些记录包含 IPv6 流,其中有协议为 ipv6-icmp 的条目,其目标端口值为 0、1025 和 257。我知道此链接netflow 中 ipv6-icmp 的值为 0 表示回显答复。是否有任何资源可以查找 ipv6-icmp-1025 和 ipv6-icmp-257 的含义?
答案1
ICMP 和 ICMPv6 没有端口号。netflow 可能使用 0 来表示这不是 UDP 或 TCP 流。
标准类型和代码如下IANA 注册中心在 v6 中,类型 0 实际上是保留的,并且在传输过程中无效。由于这些是 8 位字段,因此它们最多只能达到 256。
这些显然与 ICMP 不对应。可能其他日志记录或数据包捕获更适合分析它。
答案2
我认为 Netflow 正在重载目标端口来表示 ICMP 类型和代码,格式为
dPort = icmp_type << 8 + icmp_code
以下是支持这一事实的文章:使用 NetFlow 检测蠕虫和异常活动(第 2 部分)但是,1025(类型:4,代码:1)和 257(类型:1,代码:1)似乎没有映射到有效的 ICMP 消息,因此可能背后还有其他编码逻辑。