Zusammenfassung

  • RFC 9870 registriert IPFIX-Informationselemente, die anzeigen, ob eine SAFE- oder UNSAFE-UDP-Optionsart mindestens einmal in einem Flow beobachtet wurde.
  • Ein gesetztes Bit belegt Präsenz innerhalb der Beobachtungsgrenze, aber keine Reihenfolge, Anzahl, Werte, erfolgreiche Verarbeitung, Anwendungszustellung oder Verbreitung.

Eine Bitmap wirkt endgültig. Ein gesetztes Bit bedeutet tatsächlich, dass der Exporter den betreffenden Kind gesehen hat. RFC 9870 sagt jedoch nicht, welches Datagramm ihn trug, wie oft er vorkam, welchen Wert er enthielt oder ob der Empfänger danach handelte.

UDP-Optionen liegen im Überschussbereich hinter dem UDP-Paket und werden durch einen ein Byte langen Kind identifiziert. RFC 9870 definiert weder ihr Verhalten neu noch gibt er Betriebsanweisungen. Er beschreibt, wie ein IPFIX-Exporter seine Beobachtung meldet.

Zwei Felder für zwei Bereiche

Kinds 0 bis 191 sind SAFE, 192 bis 255 UNSAFE. udpSafeOptions, Element 525, ist ein vorzeichenloses 256-Bit-Feld, dessen höchste 64 Bits null bleiben müssen. udpUnsafeOptions, Element 526, verwendet 64 Bits für UNSAFE Kinds.

In beiden Feldern heißt ein Bit nur: mindestens einmal im Flow gesehen. Zwei Flows können daher dieselbe Bitmap erzeugen, obwohl Häufigkeit, Reihenfolge und Werte verschieden sind. Reduced-Size Encoding darf die Darstellung verkürzen, wenn hohe Bits nicht gebraucht werden; die kürzere Übertragung erweitert nicht die Beweiskraft.

Experimente brauchen eine eigene Kennung

Die Elemente 527 bis 529 tragen eine 16-Bit-Experimentkennung sowie Listen beobachteter SAFE- oder UNSAFE-Kennungen. Ist eine passende Liste vorhanden, hat sie Vorrang vor dem allgemeinen EXP- oder UEXP-Bit; dieses muss für den Flow ungesetzt bleiben. Die Liste unterscheidet Experimente, beweist aber nicht ihren Erfolg.

Ein Collector kann mit diesen Feldern verdächtige Flows auswählen oder Beobachtungspunkte vergleichen. Aussagen über Folge, Zahl, Inhalt oder Endpunktverhalten benötigen Belege, die genau diese Tatsachen erfassen.

Hauptquelle ist RFC 9870. RFC 9868 liefert den UDP-Optionskontext; RFC 7011 und RFC 7012 definieren IPFIX. Aktuelle Einträge stehen im IANA-IPFIX-Register. Diese Quellen belegen das Format, nicht heutige Nutzung oder Leistung.