Kiểm thử IPFIX: template refresh, collector loss và độ đầy đủ của flow record

RFC 7011 định nghĩa IPFIX Message, Template Record, Data Record và Observation Domain. Collector cần template phù hợp để hiểu field trong data set. RFC 5471 cung cấp hướng dẫn kiểm thử IPFIX; đây là nền tảng để đánh giá protocol behavior, nhưng acceptance test vẫn phải bám traffic và retention của hệ thống thực tế.

Cần xác định exporter có tạo đúng record, mạng có giao message, collector có decode/ingest đúng, và query có trả lại record mà không duplicate hoặc mất field. Failure model gồm template đến trễ/mất, sequence gap, transport interruption, exporter reboot, collector restart, queue overload, clock drift và schema đổi sau nâng cấp.

Topology tối thiểu gồm traffic generator, DUT/exporter, TAP/SPAN độc lập, impairments có kiểm soát và một hoặc hai collector. Packet capture ở observation point tạo ground truth cho 5-tuple, bytes, packets, start/end time; capture thêm trên đường export để tách lỗi exporter với network/collector.

Đồng bộ thời gian và lưu cấu hình Observation Point, Observation Domain ID, exporter address, transport, MTU, template ID, timeout và sampling. Với collector HA, chỉ rõ VIP, active/standby hoặc dual export; không coi hai kiến trúc là tương đương.

Khóa exporter firmware, interface, direction, encapsulation, MTU, timestamp source, active/inactive timeout, cache size, sampling, aggregation, template refresh và transport. Traffic profile phải nêu IPv4/IPv6, TCP/UDP, short/long flow, fragment, tunnel, bidirectional flow, packet size, rate và churn.

Quét template refresh theo packet/time, collector join giữa phiên, message reorder/loss, exporter reboot, clock step, flow-cache pressure và collector ingest rate. Nếu dùng UDP, không giả định retransmission; với TCP cần đo head-of-line blocking, reconnect và backlog. Với SCTP, phải xét stream và chế độ reliability đang dùng, không đánh đồng head-of-line giữa các stream với TCP.

Sequence Number đếm Data Record đã gửi trước message hiện tại, không đếm số message và không tăng theo Template Record. Khi suy record loss từ sequence gap phải xét transport session, Observation Domain, SCTP stream nếu áp dụng, reorder, wraparound và exporter restart; mất message chỉ chứa template có thể không tạo gap này.

KPI gồm decoded-record ratio, record completeness, byte/packet error so với capture, duplicate ratio, sequence discontinuity, export delay, ingest latency, timestamp error, unknown-template interval và query availability. Với sampling, so sánh estimator và confidence interval thay vì đòi exact packet count.

Evidence contract nên lưu PCAP, IPFIX message raw, decoded record, template history, sequence number, exporter counter, collector ingest/drop log, query result và clock status. Một record đã hiển thị không chứng minh field đúng semantic; cần kiểm Information Element ID, enterprise bit, length và unit.

Pass/fail cần tách fidelity với availability. Collector có thể truy vấn được nhưng dữ liệu thiếu; hoặc record đủ nhưng trễ quá lâu cho incident response.

• Case: Collector khởi động giữa phiên · Kỳ vọng: Nhận template trước khi decode data mới · Evidence: raw message + decoder log · Fail điển hình: unknown template kéo dài
• Case: Template ID được tái sử dụng · Kỳ vọng: Cache cũ không gán nhầm schema · Evidence: template history · Fail điển hình: field bị diễn giải sai
• Case: Mất export message chứa Data Record · Kỳ vọng: Gap được phát hiện/định lượng sau khi xét reorder/reset · Evidence: sequence + PCAP · Fail điển hình: mất im lặng
• Case: Exporter reboot · Kỳ vọng: Session/domain state phục hồi · Evidence: uptime + sequence · Fail điển hình: duplicate hoặc gap không báo
• Case: Collector failover · Kỳ vọng: RPO/RTO trong ngưỡng · Evidence: ingest/query timeline · Fail điển hình: double ingest hoặc data hole
• Case: Flow-cache pressure · Kỳ vọng: Drop/eviction có counter · Evidence: exporter telemetry · Fail điển hình: số record giảm không giải thích

Phát từng flow xác định trước, so raw Template Record với Data Record và packet ground truth. Bao phủ fixed-length, variable-length, enterprise Information Element, IPv6, tunnel và counter 64-bit nếu được triển khai. Thử collector bắt đầu nghe trước và sau exporter để kiểm refresh.

• Lưu template ID, Observation Domain ID và exporter identity.
• Đối chiếu 5-tuple, byte, packet và timestamp.
• Kiểm active/inactive timeout bằng long-flow và burst ngắn.
• Đổi template có kiểm soát; xác nhận cache không bị dùng chéo.
• Kiểm sequence gap và log unknown template.
• Xác nhận unit/semantic của từng field dùng cho dashboard.

Chèn loss, delay, reorder và MTU issue chỉ trên export path; đồng thời giữ packet path ổn định. Restart exporter rồi collector, failover từng node, làm đầy ingest queue và tạm ngắt storage. Đối chiếu raw message đã tới host với record đã ingest để xác định loss nằm ở đâu.

Với dual export, kiểm record ID/key và deduplication; cùng một flow từ hai exporter hoặc hai collector không mặc nhiên là duplicate. Đặt recovery point objective theo khoảng record chấp nhận mất và recovery time objective theo thời gian query trở lại.

Tăng flows/s, active flow, template count, exporter count và query concurrency theo bậc. Đo CPU, memory, queue, disk, parse error và ingest latency percentile. Chạy traffic elephant/mice trộn lẫn để phát hiện cache eviction hoặc bias.

Runbook phải cảnh báo sequence gap, unknown template, exporter silence, clock drift, queue pressure và schema change. Canary exporter trước khi nâng cấp hàng loạt; lưu rollback cho template, transport và sampling. Kiểm tra dashboard bằng truy vấn đối soát định kỳ, không chỉ health endpoint.

Packet capture cũng có thể mất gói hoặc sai timestamp; phải đo capture loss và NIC ring. Kết quả chỉ áp dụng cho exporter, collector, transport, schema, sampling và traffic đã thử. IPFIX record là quan sát tại một Observation Point, không phải sự thật end-to-end.

Không so sánh byte/packet tuyệt đối nếu exporter tính encapsulation hoặc direction khác ground truth. Ghi rõ normalization và uncertainty.

• Exporter/Collector: tiến trình xuất và thu IPFIX.
• Template Record: schema cho Data Record.
• Observation Domain: miền quan sát có hệ thống ID riêng.
• Sequence number: tín hiệu hỗ trợ phát hiện discontinuity.
• Active/inactive timeout: điều kiện xuất record khi flow còn hoạt động hoặc đã im lặng.
• Flow completeness: mức record phản ánh đủ flow trong ground truth.
• Unknown template: data chưa thể decode vì thiếu schema tương ứng.