Fehlerbehebung für NetFlow auf IOS XE

Einleitung

In diesem Dokument wird die Fehlerbehebung bei NetFlow auf Technologien für Cisco IOS® XE beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• NetFlow
• Cisco IOS XE

Weitere Informationen zu diesen Themen finden Sie unter:

Flexible NetFlow - Übersicht
Konfigurieren von Flexible NetFlow (Catalyst 9300-Switches)
Konfigurieren von Flexible NetFlow (Catalyst Switches der Serie 9400)

Konfigurieren von Flexible NetFlow (Catalyst Switches der Serie 9500)

Konfigurieren von Flexible NetFlow (Catalyst 9600-Switches)

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf der Cisco IOS XE Software.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Fehlerbehebung bei NetFlow auf Cisco Routern

Netzwerkdiagramm

NetFlow auf Routern

Collector empfängt keine NetFlow-Exportpakete (CFLOWS) vom Router

Der Collector empfängt die Informationen nicht vom Router an der Schnittstelle GigabitEthernet2.

Schritt 1: Überprüfen der Exportkonfiguration

• Collector-IP-Adresse
• Quellschnittstelle
• UDP-Port
• Exportprotokoll (NetFlow v9/IPFIX)
  
  

WAN_Router#show running-config | section flow exporter
flow exporter Netflow_Exporter
destination 203.0.113.10
source Loopback0
transport udp 9996
template data timeout 60

Schritt 2: Überprüfen des Schnittstellenstatus

Stellen Sie sicher, dass GigabitEthernet2 betriebsbereit ist:

• Schnittstelle ist aktiv/aktiv
• Die richtige IP-Adresse ist konfiguriert.
• Keine übermäßigen Fehler oder Auslassungen

WAN_Router#show interface gigabitEthernet 2 | include up|error|drop
GigabitEthernet2 is up, line protocol is up 
Full Duplex, 1000Mbps, link type is auto, media type is Virtual
output flow-control is unsupported, input flow-control is unsupported
Input queue: 0/375/0/0 (size/max/drops/flushes); Total output drops: 0
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
0 output errors, 0 collisions, 0 interface resets
0 unknown protocol drops

Schritt 3: Überprüfen der Erreichbarkeit für den Collector

Testen der Verbindung von der Quellschnittstelle:

WAN_Router#ping 203.0.113.10 source Loopback 0
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 203.0.113.10, timeout is 2 seconds:
Packet sent with a source address of 198.51.100.10 
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/5 ms
WAN_Router#

WAN_Router#traceroute 203.0.113.10 source Loopback 0 numeric 
Type escape sequence to abort.
Tracing the route to 203.0.113.10
VRF info: (vrf in name/id, vrf out name/id)
1 X.X.X.X 2 msec 1 msec 1 msec
2 Y.Y.Y.Y 2 msec 2 msec 1 msec
3 Z.Z.Z.Z 2 msec * 2 msec
WAN_Router#

Schritt 4: Überprüfen der Exporter-Statistik

Überprüfen Sie, ob der Router NetFlow-Exportpakete generiert und an die konfigurierte Collector-Adresse überträgt.

  Überprüfung:

• Erfolgreich gesendete Pakete
• Erfolgreich gesendete Vorlagen
• Keine Übertragungsfehler
• Keine Socketfehler
  
  

WAN_Router#show flow exporter statistics 
Flow Exporter Netflow_Exporter:
Packet send statistics:
Successfully sent: 41 (3780 bytes)

Client send statistics:
Client: Flow Monitor MONITOR_INGRESS
Records added: 35
- sent: 35
Bytes added: 1750
- sent: 1750

Client: Flow Monitor MONITOR_EGRESS
Records added: 35
- sent: 35
Bytes added: 1750
- sent: 1750

Schritt 5: Überprüfen der Flow-Erstellung

Überprüfen Sie, ob die Datenflusseinträge im Datenflussmonitorcache eingetragen und verwaltet werden.

Überprüfung:

• Aktive Datenflüsse sind im Datenflussmonitor-Cache vorhanden.
• Die Cache-Einträge werden inkrementiert, was darauf hinweist, dass Datenverkehr aufgezeichnet wird.
• Datenflusseinträge laufen innerhalb der erwarteten Zeitüberschreitungsintervalle ab (veraltet).

WAN_Router#show flow monitor MONITOR_EGRESS cache 
Cache type: Normal (Platform cache)
Cache size: 200000
Current entries: 14
High Watermark: 27

Flows added: 3032
Flows aged: 3018
- Active timeout ( 60 secs) 200
- Inactive timeout ( 30 secs) 2818

IPV4 SOURCE ADDRESS: 198.51.100.200
IPV4 DESTINATION ADDRESS: 192.0.2.11
TRNS SOURCE PORT: 57188
TRNS DESTINATION PORT: 1967
INTERFACE OUTPUT: Gi2
IP TOS: 0x00
IP PROTOCOL: 17
counter bytes long: 80
counter packets long: 1
timestamp abs first: 22:09:34.067
timestamp abs last: 22:09:34.067

Basierend auf der Ausgabe, kann bestimmt werden:

• Der Datenflussmonitor MONITOR_EGRESS ist betriebsbereit und füllt den Cache aktiv mit Datenflusseinträgen auf.
• Cache-Zustand wird bestätigt - Einträge werden mit der erwarteten Rate hinzugefügt und entfernt (veraltet).
• Ein erheblicher Teil der Datenflüsse (2.818 von 3.018 Jahren) läuft aufgrund des inaktiven Timeouts ab. Dies ist ein erwartetes Verhalten für kurzen oder niedrigen Datenverkehr.
• Der angezeigte Cache-Eintrag stellt einen Einzelpaket-UDP-Fluss (Protokoll 17) von der Quelle 198.51.100.200, Port 57188, zum Ziel 192.0.2.11, Port 1967 dar, der über die Schnittstelle GigabitEthernet2 endet.
  
  

Schritt 6: Überprüfen Sie den Monitoranhang.

Vergewissern Sie sich, dass der Flussmonitor auf die richtige Schnittstelle angewendet wurde.

WAN_Router#show running-config interface gigabitEthernet 2
Building configuration...

Current configuration : 217 bytes
!
interface GigabitEthernet2
ip flow monitor MONITOR_EGRESS output
ip address x.x.x.x 255.255.255.252
ip ospf network point-to-point
ip ospf 1 area 0
negotiation auto
end 

Schritt 7: Überprüfen von ACLs oder Sicherheitsrichtlinien

Vergewissern Sie sich, dass keine konfigurierten ACLs oder Sicherheitsrichtlinien NetFlow-Exportpakete filtern oder verwerfen, die an den Collector gerichtet sind:

WAN_Router#show running-config | include access-group
WAN_Router#

Schritt 8: Erfassen Sie Datenverkehr auf dem Router.

• Überprüfen Sie den Routing-Pfad zum Collector mit dem Befehl show ip route <Collector_IP>. Identifizieren Sie die Ausgangsschnittstelle, über die der Router den NetFlow-Exportdatenverkehr weiterleitet.
• Erstellen Sie eine ACL, die UDP-Pakete mit der Quell-IP-Adresse zulässt, die mit der konfigurierten Quell-Schnittstelle von NetFlow Exporter übereinstimmt, und mit der Ziel-IP-Adresse, die mit dem Collector übereinstimmt. Wenden Sie diese ACL auf die Paketerfassung an, um den relevanten Datenverkehr zu filtern.
  
  
  

WAN_Router#show running-config | sec flow exporter
flow exporter Netflow_Exporter
destination 203.0.113.10
source Loopback0
transport udp 9996
template data timeout 60

WAN_Router#show ip route 203.0.113.10
Routing entry for 203.0.113.10/32
Known via "ospf 1", distance 110, metric 22, type intra area
Last update from x.x.x.x on GigabitEthernet2, 02:12:27 ago
Routing Descriptor Blocks:
* x.x.x.x, from 203.0.113.10, 02:12:27 ago, via GigabitEthernet2
Route metric is 22, traffic share count is 1

WAN_Router#show running-config interface Loopback0
Building configuration...

Current configuration : 87 bytes
!
interface Loopback0
ip address 198.51.100.10 255.255.255.255
ip ospf 1 area 0
end

WAN_Router(config)#ip access-list extended netflow
WAN_Router(config-ext-nacl)#permit udp host 198.51.100.10 host 203.0.113.10
WAN_Router(config-ext-nacl)#end
!
WAN_Router#monitor capture netflow interface gigabitEthernet 2 out access-list netflow buffer size 10
WAN_Router#monitor capture netflow start
Started capture point : netflow

WAN_Router#show monitor capture netflow buffer brief 
-------------------------------------------------------------------------------------
#    size     timestamp      source                destination     dscp   protocol
-------------------------------------------------------------------------------------
0    166      0.000000      198.51.100.10      -> 203.0.113.10      0 BE   UDP
1    166      0.055997      198.51.100.10      -> 203.0.113.10      0 BE   UDP
2    166      7.562019      198.51.100.10      -> 203.0.113.10      0 BE   UDP
3    166      7.617024      198.51.100.10      -> 203.0.113.10      0 BE   UDP
4    166      9.719009      198.51.100.10      -> 203.0.113.10      0 BE   UDP
5    166      9.776013      198.51.100.10      -> 203.0.113.10      0 BE   UDP

WAN_Router#show monitor capture netflow buffer dump 
0
0000: AABBCC00 18005254 00B62209 08004500 ......RT.."...E.
0010: 009863EA 0000FF11 F121C633 640ACB00 ..c......!.3d...
0020: 710AC027 270C0084 F2E70009 0002086E q..''..........n
0030: 9B7A6A2F 2ED40000 07CE0000 01000102 .zj/............
0040: 0068C000 020BC633 64C80011 07AFDCA1 .h.....3d.......
0050: 00000002 00000000 00000034 00000000 ...........4....
0060: 00000001 0000019E C84E6CDC 0000019E .........Nl.....
0070: C84E6CDC C000020B C63364C8 0011007B .Nl......3d....{
0080: DCA10000 00020000 00000000 002C0000 .............,..
0090: 00000000 00010000 019EC84E 6CF00000 ...........Nl...
00A0: 019EC84E 6CF0 ...Nl.

Basierend auf der Paketerfassungsanalyse werden die NetFlow-Exportpakete (cflows) vom Router an den konfigurierten Collector übertragen.

Paketerfassungs-NetFlow

Wenn die Exporter-Statistiken erfolgreiche Übertragungen anzeigen, aber keine Pakete beim Collector empfangen werden, liegt das Problem wahrscheinlich eher im Netzwerkpfad zwischen dem Router und dem Collector als in der Konfiguration des NetFlow-Exporters selbst.

So isolieren Sie das Problem:

• Netzwerkpfad validieren: Überprüfen Sie alle entlang des Pfads angewendeten ACLs, um sicherzustellen, dass der konfigurierte NetFlow-UDP-Port nicht abgelehnt oder gefiltert wird.
• Überprüfung der Firewall-Richtlinien - Wenn im Pfad zwischen dem Exporteur und dem Collector eine Firewall vorhanden ist, stellen Sie sicher, dass die anwendbaren Sicherheitsrichtlinien den NetFlow-Export-UDP-Datenverkehr auf dem designierten Port zulassen.
• Status der Collector-Anwendung bestätigen: Überprüfen Sie, ob der Collector-Dienst oder -Prozess ausgeführt wird und den erwarteten UDP-Port aktiv überwacht.
  
  
  

NetFlow Exporter überträgt keine Flow-Daten an Collector in VRF-fähiger Topologie

Der Collector empfängt keine Flow-Exportdaten von der Schnittstelle GigabitEthernet2. Die Erreichbarkeit des Collectors wurde zwar überprüft, die Flow-Datensätze werden jedoch nicht erfolgreich übermittelt.

Schritt 1:  Überprüfen, ob der Datenverkehr erfasst wird

Überprüfen Sie, ob der Monitor Datenverkehr empfängt und Flusseinträge erstellt.

WAN_Router#show flow monitor MONITOR_INGRESS cache 
Cache type: Normal (Platform cache)
Cache size: 200000
Current entries: 7
High Watermark: 9

Flows added: 65
Flows aged: 58
- Active timeout ( 60 secs) 4
- Inactive timeout ( 30 secs) 54

IPV4 SOURCE ADDRESS: x.x.x.x
IPV4 DESTINATION ADDRESS: 224.0.0.5
TRNS SOURCE PORT: 0
TRNS DESTINATION PORT: 0
INTERFACE INPUT: Gi2
IP TOS: 0xC0
IP PROTOCOL: 89
counter bytes long: 100
counter packets long: 1
timestamp abs first: 01:54:53.144
timestamp abs last: 01:54:53.144

Schritt 2: Überprüfen der Exportstatistik

Überprüfen Sie den Exportvorgang.

WAN_Router#show flow exporter statistics
Flow Exporter Netflow_Exporter:
Packet send statistics :
Successfully sent: 0 (0 bytes)

Client send statistics:
Client: Flow Monitor MONITOR_INGRESS
Records added: 0
Bytes added: 0

Die Ausgabe zeigt an, dass der Flussmonitor MONITOR_INGRESS erfolgreich Flussdaten erfasst und zwischenspeichert. Der Flow-Exporter Netflow_Exporter überträgt jedoch keine Datensätze an den Collector.

Schritt 3: Überprüfen der Erreichbarkeit des Collectors in der Routing-Tabelle

Überprüfen Sie, ob in der entsprechenden Routing-Tabelle eine Route zur Collector-IP-Adresse vorhanden ist. Hierbei kann es sich je nach Netzwerktopologie um die globale oder eine VRF-spezifische Routing-Tabelle handeln.

WAN_Router#show ip route 203.0.113.10
% Network not in table

WAN_Router#show ip cef 203.0.113.10
0.0.0.0/0
no route

WAN_Router#show ip vrf
Name           Default RD         Interfaces
A             <not set>           Lo0
                                  Gi1
                                  Gi2

WAN_Router#show ip route vrf A 203.0.113.10

Routing Table: A
Routing entry for 203.0.113.10/32
Known via "ospf 1", distance 110, metric 22, type intra area
Last update from x.x.x.x on GigabitEthernet2, 00:37:34 ago
Routing Descriptor Blocks:
* x.x.x.x, from 203.0.113.10, 00:37:34 ago, via GigabitEthernet2
Route metric is 22, traffic share count is 1 

WAN_Router#ping vrf A 203.0.113.10 source loopback0 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 203.0.113.10, timeout is 2 seconds:
Packet sent with a source address of 198.51.100.10 
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/3 ms
WAN_Router

Schritt 4: Überprüfen der Flow Exporter-Konfiguration

Überprüfen Sie die Exporter-Konfiguration, um sicherzustellen, dass die entsprechende VRF-Instanz angegeben ist, und vergewissern Sie sich, dass der Export VRF-fähig ist.

WAN_Router#show running-config | sec flow exporter
flow exporter Netflow_Exporter
destination 203.0.113.10
source Loopback0
transport udp 9996
template data timeout 60
WAN_Router#

Die Hauptursache des Exportfehlers ist das Fehlen einer VRF-Definition in der Flow Exporter-Konfiguration. In einem VRF-kompatiblen Netzwerk muss der Flow Exporter explizit mit der entsprechenden VRF-Instanz konfiguriert werden, um sicherzustellen, dass Exportpakete über die richtige Routing-Tabelle an den Collector weitergeleitet werden.

Die korrigierte Konfiguration und die Überprüfungsschritte, mit denen bestätigt wird, dass der Exporteur wie erwartet funktioniert, sind hier dargestellt.

WAN_Router#show running-config | section flow exporter 
flow exporter Netflow_Exporter
destination 203.0.113.10 vrf A
source Loopback0
transport udp 9996
template data timeout 60

Schritt 5: Überprüfen, ob Exportpakete vom Router ausgehen

Aktivieren Sie die Paketerfassung an der Ausgangsschnittstelle, und verwenden Sie die entsprechenden Befehle zum Anzeigen, um zu bestätigen, dass NetFlow-Exportpakete an den Collector gesendet werden.

WAN_Router#show monitor capture netflow parameter 
monitor capture netflow interface GigabitEthernet2 OUT
monitor capture netflow access-list netflow
monitor capture netflow buffer size 10
monitor capture netflow limit pps 1000

WAN_Router#show flow exporter statistics 
Flow Exporter Netflow_Exporter:
Packet send statistics :
Successfully sent: 7 (576 bytes)

Client send statistics:
Client: Flow Monitor MONITOR_INGRESS
Records added: 9
- sent: 9
Bytes added: 450
- sent: 450

WAN_Router#show monitor capture netflow buffer brief 
--------------------------------------------------------------------------------
#   size   timestamp      source               destination      dscp    protocol
--------------------------------------------------------------------------------
0    114    0.000000     198.51.100.10     -> 203.0.113.10         0 BE UDP
1    118    31.873947    198.51.100.10     -> 203.0.113.10         0 BE UDP
2    166    32.955004    198.51.100.10     -> 203.0.113.10         0 BE UDP
3    166    43.580963    198.51.100.10     -> 203.0.113.10         0 BE UDP
4    166    53.061993    198.51.100.10     -> 203.0.113.10         0 BE UDP
5    114    62.480978    198.51.100.10     -> 203.0.113.10         0 BE UDP

Fehlerbehebung bei NetFlow auf Cisco Switches

Netzwerkdiagramm

NetFlow auf Switches

Flow Monitor kann nicht auf die Schnittstelle angewendet werden.

Wenn versucht wird, den FNF-Flussmonitor (Flexible NetFlow) in der Ausgangsrichtung an die Schnittstelle anzuschließen, lehnt der Router die Konfiguration ab und generiert eine Fehlermeldung.

WAN_Switch(config-if)#interface TwentyFiveGigE1/0/1
WAN_Switch(config-if)#ip flow monitor MONITOR_INGRESS input 
% Flow Monitor: Failed to add monitor to interface: Invalid set of fields in monitor record for wired interface

Schritt 1: Überprüfen der Monitorkonfiguration

WAN_Switch#show running-config | section flow monitor
flow monitor MONITOR_INGRESS
exporter Netflow_Exporter
cache timeout inactive 30
cache timeout active 60
record INGRESS

 Schritt 2: Überprüfen Sie die Flussdatensatzkonfiguration für richtungsspezifische Felder. Der häufigste Grund für dieses Problem ist: Anwendungsnamen zuordnen.

WAN_Switch#show running-config | section flow record
flow record INGRESS
match ipv4 version
match ipv4 protocol
match application name
match ipv4 destination address
match ipv4 source address
match transport destination-port
match transport source-port
match interface input
match flow direction
collect timestamp absolute first
collect timestamp absolute last
collect counter bytes long
collect counter packets long

Das Feld "Match Application Name" (Anwendungsname abgleichen) in einem FNF-Flussdatensatz (Flexible NetFlow) wird in AVC-Bereitstellungen (Application Visibility and Control) verwendet, um Datenverkehr auf Basis der Anwendung zu identifizieren und zu klassifizieren, die den Fluss generiert.

In diesem Feld wird die NBAR-Engine (Network-Based Application Recognition) verwendet, um die Deep Packet Inspection (DPI) durchzuführen und die den einzelnen Datenströmen zugeordneten Anwendungen zu identifizieren. Anstatt sich nur auf Portnummern oder IP-Adressen zu verlassen, kann der Router den Datenverkehr auf Anwendungsebene (Layer 7) klassifizieren.

Bei einer Bereitstellung, die nur Flexible NetFlow (FNF) ohne aktivierte AVC-Funktion verwendet, ist dieses Feld nicht mit der Schnittstellenkonfiguration kompatibel und verhindert, dass der Datenflussmonitor an die überwachte Schnittstelle angeschlossen wird.

Anmerkung: Auf den Plattformen Catalyst 9500H und Catalyst 9600 ist die AVC-Funktion nicht verfügbar. Für die AVC-basierte Datenflussüberwachung wird die Catalyst Serie 9300 unterstützt.

3. Entfernen Sie das nicht unterstützte Feld aus der Flussdatensatzkonfiguration, und wenden Sie dann den Flussmonitor erneut auf die Schnittstelle an.

WAN_Switch(config)#interface twentyFiveGigE 1/0/1 
WAN_Switch(config-if)#no ip flow monitor MONITOR_INGRESS in 
WAN_Switch(config)#no flow monitor MONITOR_INGRESS
WAN_Switch(config)#flow record INGRESS
WAN_Switch(config-flow-record)#no match flow direction
<snip>

Anmerkung: Wenden Sie nach der Änderung des Flow-Datensatzes die Flow Monitor-Konfiguration erneut an, und schließen Sie den Flow Monitor an die Schnittstelle an, um die Konfigurationsänderung abzuschließen.

Schritt 4: Vergewissern Sie sich, dass der Datenflussmonitor betriebsbereit ist, nachdem die Konfigurationsänderungen übernommen wurden. 

WAN_Switch#show flow monitor MONITOR_INGRESS statistics 
Cache type: Normal (Platform cache)
Cache size: 10000
Current entries: 1

Flows added: 1
Flows aged: 0

WAN_Switch#show flow monitor MONITOR_INGRESS cache 
Cache type: Normal (Platform cache)
Cache size: 10000
Current entries: 1

Flows added: 1
Flows aged: 0

IPV4 SOURCE ADDRESS: x.x.x.x
IPV4 DESTINATION ADDRESS: y.y.y.y
TRNS SOURCE PORT: 0
TRNS DESTINATION PORT: 0
INTERFACE INPUT: Twe1/0/1
FLOW DIRECTION: Input
IP VERSION: 4
IP PROTOCOL: 89
counter bytes long: 708
counter packets long: 7
timestamp abs first: 20:38:23.408
timestamp abs last: 20:39:12.408

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	18-Jun-2026	Erstveröffentlichung