Akvorado项目对Cisco ASA/NSEL NetFlow数据的支持优化

背景介绍

Akvorado是一款开源的网络流量分析工具，主要用于收集和处理NetFlow/IPFIX数据。在v1.9.3版本中，项目团队发现对Cisco ASA设备生成的NSEL(NetFlow Security Event Logging)格式数据的支持存在不足。

问题发现

当Akvorado处理来自Cisco ASA设备的NetFlow数据时，虽然能够正确解析大部分信息（包括NAT转换后的地址），但所有流量的接收数据包数量都被错误地解析为0。经过分析发现，这是由于Cisco ASA设备在NSEL格式中使用了特殊的字段来表示流量统计信息。

技术分析

在标准NetFlow v9格式中，通常使用以下字段表示流量：

• NFV9_FIELD_IN_BYTES (字段ID 1)：表示入向字节数
• NFV9_FIELD_OUT_BYTES (字段ID 23)：表示出向字节数

然而，Cisco ASA设备在NSEL格式中使用了不同的字段：

• IPFIX_FIELD_initiatorOctets (字段ID 231)：表示发起方字节数
• IPFIX_FIELD_responderOctets (字段ID 232)：表示响应方字节数

这种差异导致Akvorado无法正确识别和解析流量统计信息，因为原始代码只检查了标准NetFlow v9字段。

解决方案

项目团队通过修改解码逻辑解决了这个问题。具体修改是在解码器中添加了对IPFIX_FIELD_initiatorOctets和IPFIX_FIELD_responderOctets字段的支持。新逻辑会优先使用标准NetFlow字段，如果这些字段值为0，则会尝试使用Cisco ASA特定的字段。

这种解决方案具有以下优点：

1. 保持了对标准NetFlow格式的兼容性
2. 新增了对Cisco ASA特定格式的支持
3. 采用"首次非零值优先"的策略，确保在各种情况下都能获取正确的流量统计

实现效果

经过这一修改后，Akvorado现在能够：

• 正确解析Cisco ASA设备发送的NSEL格式NetFlow数据
• 准确获取流量统计信息，包括字节数和数据包数
• 保持与原有NetFlow数据源的兼容性

技术意义

这一改进不仅解决了特定厂商设备的兼容性问题，还展示了Akvorado项目对多样化网络环境的适应能力。对于使用Cisco ASA设备的用户来说，这意味着他们现在可以获得完整的流量可视化分析能力，包括安全事件日志的流量统计信息。

这种对多种NetFlow/IPFIX变体的支持能力，是网络流量分析工具成熟度的重要标志，也体现了开源项目通过社区协作不断完善的典型过程。