Условия и паспорт источника
Сначала установите, что перед вами V5, а не V9 или IPFIX. Запишите модель экспортёра, выпуск ПО, интерфейс наблюдения, коллектор и формат выгрузки. Наличие UDP-пакетов с известным портом ещё не подтверждает формат. Сохраните копию исходных данных и время её получения. Для готового CSV/JSON нужен словарь полей именно этого коллектора: он мог переименовать First, пересчитать время или уже масштабировать sampling.
Отбор на сохранённой копии
В TShark используйте читающую команду из вкладки «Примеры»: она работает с файлом через -r, без захвата сети. Подставьте путь к своей копии; фильтр предполагает, что Wireshark распознал cflow. Если протокол не распознан, проверьте настройки декодирования и фактический формат. Найдите пакет нужного экспортёра и интервала, затем запись с парой адресов, портов и prot. Не фильтруйте внешние IP-поля UDP как будто это участники наблюдаемого соединения.
Как прочитать пример
В примере экспортёр 203.0.113.7 — отдельный контекст, поток направлен от 192.0.2.10:51514 к 198.51.100.20:443 по TCP. Значения 12 и 8400 относятся к этой записи. Направление ответа ищут отдельной записью и в сопоставимом окне; отсутствие ответа в этом наборе не означает отсутствия пакетов в сети. Сначала установите, какие из интерфейсов и направлений реально наблюдаются.
Время и единицы
Упрощённый расчёт для примера без перезагрузки и переполнения: start = export_time - (SysUptime - First)/1000, аналогично для Last. Получается начало за 10 секунд и конец за 1 секунду до экспорта. Часы экспортёра, перезапуск и 32-битное переполнение могут нарушить такой расчёт. Если коллектор уже вернул абсолютные даты, не вычитайте uptime повторно. Запишите используемую timezone и способ преобразования.
Интерпретация и следующий шаг
Сравните интервал с журналом приложения или межсетевого экрана. Уточните NAT, точку наблюдения, ifIndex, таймауты завершения потока и sampling по паспорту оборудования. Наш маршрут рекомендует сначала подтвердить границы наблюдения и единицы, затем считать объёмы и искать обратное направление. По порту 443 нельзя заключить, что передавался именно HTTPS, а набор TCP-флагов не заменяет восстановление диалога или журнал результата приложения.
Если записи нет
Разделите две проблемы: отсутствует сам экспорт либо нужная запись не найдена в полученном экспорте. Проверьте период, экспортёр, направление учёта, timeout, sampling и фильтры коллектора. Сопоставьте контрольные интервалы и доступность соседних записей. Зафиксируйте пробелы доставки; не делайте вывод об отсутствии соединения только по пустой выборке. После проверки собирайте дополнительные свидетельства в доступных журналах, без изменения конфигурации из этой карточки.