Нереалистичные данные в Elastiflow?

Question

[neo2121]

Добрый день! Недавно развернул ElastiFlow для мониторинга происходящего в среде. Добавил пару Mikrotik для теста. По некоторым из них наблюдаю всплески по типу таких, как на скриншоте. Не могу понять от куда берутся такие объемы данных, которые рисует ElastiFlow. Наблюдаемые Mikrotik обычные антенны, аля SXT R, на мой взгляд, у них не наберется столько мощи для выдачи таких показателей, да и пропускная способность канала не позволила бы. Может быть кто-то встречался с аналогичной проблемой? Подскажите куда копать. Также стоит сказать, что указанные ip адреса не принадлежат данным хостам

Answer 1

[neo2121]

Дело оказалось в реализации Mikrotik'ом протокола Net Flow v9, переключил на IPFIX проблемы более не наблюдается

Upd. Я все еще не решил проблему

Comments

[neo2121]

При дальнейших тестах стало понятно, что это не было решением. Я также менял версию netflow на 5. Изменял параметры кеша и таймаут времени активного потока, но безуспешно. Я все еще получаю странные данные которые исходят из одной записи. Я также тестировал параллельно писать данные в другой коллектор (NetFlow Analyzer), пики с неизвестными данными в нем аналогично можно увидеть, но в другое время. Видимо дело в поведении самого микротика.

Сегодня я писал в Slaсk разработчику, он пеняет на то что их софт всего лишь отображает то, что приходит и посоветовал попробовать найти проблему анализатором трафика..

В общем, любые мысли по поводу этой проблемы будут полезны. В данный момент на mikrotik (6.49.13) следующие настройки

[neo2121]

После дальнейших разбирательств стало ясно что "нереалистичные" записи приходят с идентификаторами неких динамических интерфейсов (например IfIndex45448), тогда как данные с реальных интерфейсов (IfIndex4, IfIndex8) это не затрагивает. Почему возникают динамические интерфейсы и что за данные в них "летают", при мониторинге l2tp интерфейса, я пока не понимаю. Мониторю я клиентов vpn и дополнительно зафиксировать интерфейс l2tp подключения, как в случае с сервером, я не могу