NetFlow Analyzer ナレッジベース

[お問い合わせ]
装置にてsFlow エクスポート設定を行い、sFlow パケットが
NetFlow Analyzer サーバーに到達していることも確認しているが、
NetFlow Analyzer に何も表示されない。

[回答1]
NetFlow Analyzer は、フローサンプル(Flow sample)とカウンターサンプル(Counters sample)の両方を必要とします。
カウンターサンプルのみエクスポートされている場合には、何も表示できません。
フローサンプルに含まれている監視対象のインターフェース情報が取得できないためです。

まず、フローサンプルもエクスポートされているか、ご確認ください。

[確認方法]
NetFlow Analyzer サーバー上で取得したパケットキャプチャーデータでは、
sFlow データ([<proto name="sflow" showname="InMon sFlow"...]の行で始まる部分)の中で

フローサンプルは
[<field name="" show="Flow sample,...]で始まり
[field name]が[sflow.flow_sample.X]という書式になっている行群を中心としたデータ
(例)

<field name="" show="Flow sample, ...>
<field name="sflow_X.sampletype" .../>
<field name="sflow.flow_sample.sequence_number" .../>
<field name="sflow.flow_sample.source_id_class" .../>
<field name="sflow.flow_sample.index" .../>
<field name="sflow.flow_sample.sampling_rate" .../>
<field name="sflow.flow_sample.sample_pool" .../>
<field name="sflow.flow_sample.dropped_packets" .../>
<field name="sflow.flow_sample.input_interface" .../>
<field name="sflow.flow_sample.output_interface" .../>
(以下省略)

カウンターサンプルは
[<field name="" show="Counters sample,...]で始まり
[field name]が[sflow.counters_sample.X]という書式になっている行群を中心としたデータ
(例)

<field name="" show="Counters sample, ...>
<field name="sflow_XXX.sampletype" .../>
<field name="sflow.counters_sample.sequence_number" .../>
<field name="sflow.counters_sample.source_id_class" .../>
<field name="sflow.counters_sample.index" .../>
<field name="sflow.counters_sample.sampling_interval" .../>
<field name="sflow.counters_sample.counters_type" .../>
(以下省略)

となります。

sFlow のパケットキャプチャーをWireshark で取得して、詳細データを参照するには、
Wireshark 上で以下の操作で外部出力を行ないます。
フィルタでsFlow レコードのみ抽出
→[ファイル] →[エキスパートパケット解析] →[PDML XMLとして]

カウンターサンプルのみのsFlow エクスポートになっている場合には、

1. 装置上設定を確認
2. 装置を再起動、あるいはsFlow エクスポートを停止してからの再開を実施いただき、それで解決しなければ、装置ベンダー様あるいは装置販売代理店様にお問い合わせください。

[回答2]

[手順]

([NFA_HOME]は、本製品をインストールいただいたホームディレクトリを指します)

(1)NetFlow Analyzer　を停止

(2)こちらのナレッジ内容をご参照の上、残存プロセスの確認

(3)[NFA_HOME]\conf　の下にある
system_properties.conf　をテキストエディタでオープン

(4)以下の書式の2行を最後尾に追加
MISMATCH_INDEX_ROUTERS=sFlow送信元のIPアドレス(複数ある場合、カンマ区切りで)
acceptSFlowIndexMisMatch=true

(5)system_properties.conf　の変更を保存

(6)NetFlow Analyzer　を起動