<div dir="ltr"><div><div><div>I'm running a version of flowd 0.9.1 with my ASA patches applied ( <a href="http://zioncluster.ca/netflow/asa_patch_2.diff">http://zioncluster.ca/netflow/asa_patch_2.diff</a> ).<br><br></div>
I've recently realized that when running against flows from ASA running versions of 9.1(4) (and probably earlier releases in 9) I'm seeing error messages and no data is recorded to disk.<br><br></div>When templates are received I see the following:<br>
<br>NetFlow v.9 template set from <a href="http://1.1.1.1/0x0">1.1.1.1/0x0</a> with len 1368:<br> Contains template 0x00000000/0x0100 with 21 records (offset 8):<br>forced deletion of template 0x0100 from peer <a href="http://1.1.1.1/0x00000000">1.1.1.1/0x00000000</a><br>
 Contains template 0x00000000/0x0101 with 21 records (offset 96):<br>forced deletion of template 0x0101 from peer <a href="http://1.1.1.1/0x00000000">1.1.1.1/0x00000000</a><br> Contains template 0x00000000/0x0102 with 21 records (offset 184):<br>
forced deletion of template 0x0102 from peer <a href="http://1.1.1.1/0x00000000">1.1.1.1/0x00000000</a><br>[...]<br><br>Even after receipt of the template I see the following:<br><br>netflow v.9 packet (len 1412) 17 recs, source 0x00000000<br>
netflow v.9 data flowset (len 104) source 0x00000000<br>netflow v.9 data flowset without template <a href="http://1.1.1.1/0x00000000/0x0100">1.1.1.1/0x00000000/0x0100</a><br>netflow v.9 data flowset (len 68) source 0x00000000<br>
netflow v.9 data flowset without template <a href="http://1.1.1.1/0x00000000/0x0107">1.1.1.1/0x00000000/0x0107</a><br>netflow v.9 data flowset (len 104) source 0x00000000<br>[...]<br><br></div><div>When I compare it with another host running an older version I see different log information.<br>
<br>NetFlow v.9 template set from <a href="http://1.1.1.2/0x0">1.1.1.2/0x0</a> with len 992:<br> Contains template 0x00000000/0x0100 with 21 records (offset 8):<br> Contains template 0x00000000/0x0101 with 21 records (offset 96):<br>
 Contains template 0x00000000/0x0102 with 17 records (offset 184):<br> Contains template 0x00000000/0x0103 with 17 records (offset 256):<br> Contains template 0x00000000/0x0104 with 18 records (offset 328):<br> Contains template 0x00000000/0x0105 with 14 records (offset 404):<br>
 Contains template 0x00000000/0x0106 with 14 records (offset 464):<br> Contains template 0x00000000/0x0107 with 18 records (offset 524):<br> Contains template 0x00000000/0x0108 with 14 records (offset 600):<br>forced deletion of template 0x0108 from peer <a href="http://1.1.1.2/0x00000000">1.1.1.2/0x00000000</a><br>
 Contains template 0x00000000/0x0109 with 22 records (offset 660):<br>forced deletion of template 0x0109 from peer <a href="http://1.1.1.2/0x00000000">1.1.1.2/0x00000000</a><br> Contains template 0x00000000/0x010a with 22 records (offset 752):<br>
forced deletion of template 0x010a from peer <a href="http://1.1.1.2/0x00000000">1.1.1.2/0x00000000</a><br> Contains template 0x00000000/0x010b with 18 records (offset 844):<br>forced deletion of template 0x010b from peer <a href="http://1.1.1.2/0x00000000">1.1.1.2/0x00000000</a><br>
 Contains template 0x00000000/0x010c with 18 records (offset 920):<br><br></div><div>I note that with the newer release of the ASA code that none of the template records are accepted, with the older version only a few of them are force deleted.<br>
</div><div><br>Does anyone have any idea what may be happening here?<br><br></div><div>I am ready to provide samples off list and perform any debugging requested. If it's possible to receive and parse the template and post it publicly so we can compare the two versions I'd be more than happy too.<br>
<br></div><div>I'm eager to solve the problem and ready to do whatever it takes to address it.<br></div><div><br></div><div>Thanks in advance,<br></div><div><br></div>-JohnF<br></div>