Условия и граница версии
В NetFlow9 набор полей задаётся шаблоном. Зафиксируйте адрес экспортёра, Source ID, версию экспортёра/коллектора и окно копии. RFC3954 имеет статус Informational и описывает V9; это не основание читать пакет IPFIX тем же заголовком. Номер 256 сам по себе не определяет состав записи. Практический вопрос этой карточки — почему полученные Data FlowSet остаются неразобранными, а не как включить экспорт на сетевом устройстве.
Найти шаблон в копии
Читайте исходный файл целиком, включая начало периода, командой из вкладки «Примеры». Фильтр -Y ограничивает вывод, но не создаёт отсутствующий Template FlowSet. Если вам передали только готовую строку ошибки или вырезку после шаблона, запросите соседний интервал экспорта у владельца данных. Сохраните журнал коллектора с его временем получения. Установите, есть ли FlowSet ID0 и тот же Template ID в том же потоке экспортёра.
Прочитать пример
В иллюстрации шаблон 256 относится к Source ID7 экспортёра 203.0.113.7. Он задаёт два IPv4-адреса, два порта и номер протокола; длина полезных полей одной записи —13 байт. Data FlowSet256 использует именно эту последовательность. Другой экспортёр может применять 256 для совершенно иных полей. Поля контекста и человекочитаемые комментарии примера не передаются в таком текстовом виде по сети.
Проверить последовательность и срок контекста
Сопоставьте время шаблона, данных и перезапусков. Для диагностики полезно отдельно выписать изменение uptime и последовательности экспортных пакетов, затем сравнить с сообщениями коллектора. Разрыв sequence — повод проверить доставку, порядок получения и рестарт, а не автоматически объявить атаку или точное число потерянных пользовательских потоков. Не переносите сюда арифметику счётчика V5.
Интерпретация и следующий шаг
Если корректный шаблон есть и принят, проверьте длины полей, поддержку экспортируемых типов и ошибки разбора в коллекторе. Если в копии шаблона нет, данные остаются неопределёнными до получения подходящего контекста. Наш маршрут рекомендует фиксировать причину «нет шаблона в доступном наборе» отдельно от «нет сетевых потоков». После восстановления разбора сверяйте отдельные записи с сетевыми журналами в одном временном окне; не переносите семантику поля только по похожему имени.
Если шаблон или данные отсутствуют
Проверьте границы сохранённого файла, точки наблюдения, разные адреса экспортёра, перезапуск, фильтры и диагностические сообщения приёма. Не подставляйте шаблон от другого Source ID для получения красивого результата. При наличии только агрегата коллектора сохраните его как производное свидетельство и укажите, что исходные пакеты/шаблоны недоступны. После устранения пробела проверьте контрольную выборку; изменение настроек экспорта в эту читающую процедуру не входит.