Zusammenfassung

  • Die Definitionskennung gehört bei IPFIX zu einer Transportsitzung und einer Observation Domain. Die Domänennummer ist innerhalb des exportierenden Prozesses eindeutig, nicht weltweit für Geräte, Standorte oder Kunden.
  • Erfolgreiches Dekodieren belegt eine passende Interpretation der Bytes. Es belegt weder die Vollständigkeit der erfassten Grundgesamtheit noch richtige Zähler, unveränderte Herkunft oder eine Berechtigung zur geschäftlichen Zurechnung.

Ein Neustart der Verbindung ist auch ein Bedeutungsbruch

Im ersten TCP-Verbindungsabschnitt verwendet ein Exporter die Definitionskennung 256 für eine geordnete Folge aus Adressen, Ports und Zählern. Nach dem Verbindungsende darf er in einer neuen Sitzung dieselbe Nummer einer anderen Definition zuweisen. Übernimmt der Collector den alten Eintrag, können passende Feldlängen den Irrtum verdecken. Zahlen bleiben plausibel, obwohl Einheiten oder Feldnamen nicht mehr stimmen.

Das ist ein konstruiertes Prüfszenario, keine Behauptung über einen bestimmten Hersteller. RFC 7011 schließt die Abkürzung ausdrücklich aus: Definitionskennungen werden je Transportsitzung und Beobachtungsdomäne geführt. Eine Definition aus einer früheren Sitzung darf nicht zum Dekodieren der folgenden Sitzung verwendet werden, auch wenn derselbe Exporting Process sendet.

Spätestens mit der Übernahme in Kapazitätsberichte, Vorfallanalysen oder Abrechnungen wird aus dem Parserfehler ein Beweisproblem. Eine spätere Prüfung braucht nicht nur die gespeicherten Werte, sondern auch die Definition, die zum jeweiligen Zeitpunkt gelten durfte.

Die Domäne bezeichnet einen lokalen Messzusammenhang

IPFIX unterscheidet Observation Point, Metering Process, Exporting Process und Collecting Process. Der Beobachtungspunkt bezeichnet, wo Pakete gesehen werden können. Die Messverarbeitung ordnet sie Flows zu; der Exportprozess sendet die daraus gebildeten Nachrichten. Der Collector empfängt sie. Diese Rollen müssen nicht mit einer einzigen physischen oder organisatorischen Identität zusammenfallen.

Eine Observation Domain ist die größte Menge von Beobachtungspunkten, deren Flow-Informationen durch einen Metering Process aggregiert werden können. Ihre 32-Bit-Kennung ist lokal zum Exporting Process eindeutig. RFC 7011 empfiehlt Eindeutigkeit innerhalb eines IPFIX-Geräts; eine globale Identität wird daraus nicht.

Zwei Exporter können beide die Domäne 17 melden. Daraus folgt weder derselbe Standort noch derselbe Kunde. Eine Zuordnung zu Anlagen, Mandanten oder Verträgen benötigt ein zusätzliches, zeitlich gepflegtes Inventar. Das Protokoll stellt diesen geschäftlichen Zusammenhang nicht selbst her.

Für den Decoder gehören daher Exporter und Prozess, Transportsitzung, Beobachtungsdomäne und gültige Felddefinition zusammen. Beim SCTP-Sequenzzustand ist zusätzlich der Stream zu berücksichtigen. Wer diese Dimensionen im Datenlager entfernt, macht aus einem lokalen Namen einen vermeintlich universellen Schlüssel.

Definitionen erklären Bytes, nicht die Wirklichkeit

Eine Felddefinition ist eine geordnete Folge von Information Elements und Längenangaben. Die Set ID eines Data Set verweist auf die Definition seiner Datensätze. Nicht nur die Elemente, auch ihre Reihenfolge bestimmen die Lesart.

Das Informationsmodell aus RFC 7012 und das IANA-Register legen die Bedeutung standardisierter Elemente fest. Bei unternehmensspezifischen Elementen gehört die Unternehmensnummer zur Identität. Eine nackte Elementnummer reicht deshalb nicht immer aus. RFC 5610 erlaubt die Übermittlung von Typinformationen; RFC 7013 behandelt die Qualität von Elementdefinitionen und deren Prüfung. Beides erleichtert gemeinsames Verstehen, attestiert aber keine korrekte Messung.

Acht Bytes können tadellos als Zähler gelesen werden, obwohl die falsche Schnittstelle gemessen wurde. Ebenso können falsche Flow Keys, fehlerhafte Einheiten oder ungenaue Zähler eine formal gültige Nachricht ergeben. Die syntaktische Prüfung und die Prüfung der Messwirklichkeit sind verschiedene Aufgaben.

Der Lebenszyklus gehört zum Datensatz

Bei verbindungsorientierter Übertragung kann eine Definition zurückgezogen und ihre Nummer später regelgerecht wiederverwendet werden. Nach dem Rückzug darf sie nicht weiter für nachfolgende Data Sets gelten. Historische Daten brauchen die damals gültige Fassung, nicht bloß den neuesten Eintrag unter derselben Nummer.

UDP verlangt eine andere Zustandsführung. Definitionsnachrichten können fehlen oder verspätet eintreffen; Aktualisierung, Ersetzung und Ablauf müssen berücksichtigt werden. Der Rückzugsmechanismus verbindungsorientierter Transporte lässt sich nicht einfach übertragen. Ein Collector muss kenntlich machen, ob Daten ohne gültige Definition verworfen, gepuffert oder später mit einer bestimmten Fassung dekodiert wurden.

Auch verschachtelte Listen und strukturierte Datensätze nach RFC 6313 ändern diese Grenze nicht. Eine korrekt aufgebaute Liste kann ausgewählte, aggregierte oder falsche Werte enthalten. Mehr Ausdruckskraft erzeugt keine zusätzliche Tatsachengarantie.

Eine lückenlose Sequenz ist noch kein vollständiger Verkehr

Die Sequence Number zählt Data Records im betreffenden Stream und in der betreffenden Observation Domain modulo 2^32. Definitionsdatensätze und Optionsdefinitionsdatensätze erhöhen sie nicht. SCTP führt die Zählung getrennt pro Stream.

Sprünge können auf fehlende, doppelte oder umsortierte Datensätze hinweisen. Sie zählen keine verlorenen Pakete. Was vor der Flow-Bildung ausgesondert wurde, den Beobachtungspunkt nie erreichte oder gar keinen Datensatz erzeugte, liegt außerhalb dieser Zählung.

Auch zuverlässiger TCP-Transport schließt vorgelagerte Verluste nicht aus. Ein langsamer Collector oder Überlast kann den Exportpuffer füllen. Verworfene Data Records müssen beim Exporter bilanziert werden. „In diesem Übertragungsbereich keine Sequenzlücke festgestellt“ ist daher eine belastbare, aber wesentlich engere Aussage als „keine Messdaten verloren“.

Die Zeitachse verlangt dieselbe Sorgfalt. Export Time im Nachrichtenkopf bezeichnet den Zeitpunkt, zu dem die Nachricht den Exporting Process verlässt. Flow-Anfang, Flow-Ende und Beobachtungszeit sind eigene Informationen. Exportverzögerung, Aggregationsfenster und Uhrenqualität dürfen nicht in einem einzigen Zeitstempel verschwinden.

Vor der Hochrechnung steht die Grundgesamtheit

Paketauswahl kann bereits vor der Entstehung eines Flows stattfinden. Anschließend können die Verfahren aus RFC 7014 Flows filtern oder auswählen. Ein „vollständiger Flow“ kann somit nur hinsichtlich der Pakete vollständig sein, die eine frühere Auswahl überstanden haben.

RFC 7015 beschreibt die Aggregation mehrerer Flow Records. Ein Mediator nach RFC 6183 kann empfangen, auswählen, umformen, zusammenfassen und erneut exportieren. Der neue Exporter mit seiner Domäne bildet einen neuen Berichtskontext. Wo die Anwendung es benötigt, müssen ursprüngliche Herkunft und angewandte Transformationen mitgeführt werden.

Eine einzelne Samplingrate erklärt diese Kette nicht. Benötigt werden Auswahlstufe, berechtigte Grundgesamtheit, Verfahren, Parameter und Zähler. Andernfalls kann ein abgeleiteter Gesamtwert wie eine unmittelbare Vollerfassung aussehen.

Ein authentischer Exporter kann falsch messen

Richtig eingesetztes TLS oder DTLS schützt Vertraulichkeit, Integrität und die Authentisierung der kommunizierenden Prozesse. Das ist wichtig: Manipulierte Definitionen können viele Folgewerte verfälschen, und Flow-Daten offenbaren empfindliche Kommunikationsmuster.

Die Absicherung beweist aber nicht, dass der Messpunkt richtig zugeordnet, die Auswahl genehmigt oder der Zähler korrekt ist. Ein echter Exporter kann Ergebnisse einer nicht dokumentierten Auswahl zuverlässig übertragen. Authentisierte Herkunft und Messwahrheit bleiben getrennte Befunde.

Prüfungen sollten gerade diese Trennung erzwingen. Nach einer Wiederverbindung wird 256 anders definiert. Zwei Exporter und zwei Domänen senden dieselbe Nummer. Danach folgen Rückzug, Wiederverwendung, fehlende UDP-Definitionen, verspätete Daten und Pufferverluste. Auswahl, Aggregation und Mediation werden einzeln zugeschaltet. Zum Schluss sendet ein authentisierter Exporter absichtlich einen falschen Zähler. Der Collector muss Herkunft bestätigen können, ohne den Inhalt als richtig auszugeben.