网络流量采集在网络管理中的应用

1、网络流量采集在网络管理中的应用网络流量采集和分析l网络流量的采集和分析一直是网络研究中网络流量的采集和分析一直是网络研究中重要的任务之一，网络计费、网络性能分重要的任务之一，网络计费、网络性能分析都离不开这项技术的支持。同时，网络析都离不开这项技术的支持。同时，网络流量的采集和分析也是网络管理中重要的流量的采集和分析也是网络管理中重要的环节，是网管员制定网络流量策略、平衡环节，是网管员制定网络流量策略、平衡网络负载、定位网络故障位置的重要依据网络负载、定位网络故障位置的重要依据网络流量的采集方法l智能交换节点智能交换节点+ SNMP管理软件管理软件l干路中桥接设备干路中桥接设备l镜像端口镜像端

2、口+旁路监听旁路监听智能交换节点+ SNMP管理软件l通过专用软件使用通过专用软件使用SNMP协议定时轮询开协议定时轮询开启启 了了SNMP服务的智能交换节点，获得基服务的智能交换节点，获得基于设备端口的流量统计于设备端口的流量统计l优点：成本较低，能够较大限度保留原有优点：成本较低，能够较大限度保留原有投资投资l缺点：不能针对具体节点或特定协议进行缺点：不能针对具体节点或特定协议进行统计统计软件举例lMRTG（Multi Router Traffic Grapher ）l免费软件，可以通过免费软件，可以通过Web实时向用户提供多实时向用户提供多种统计时长的统计图表及关键节点性能状况种统计时长

3、的统计图表及关键节点性能状况软件举例lSolarWindsl与与MRTG功能相似，提供对流量进行分类统功能相似，提供对流量进行分类统计、设备实时监控及报警等实用功能计、设备实时监控及报警等实用功能计算机学院限速实例l通过观测，计算机学院研究生机房存在大通过观测，计算机学院研究生机房存在大量上行（量上行（BT）流量，因此采用限制上行速）流量，因此采用限制上行速率的方法进行调整率的方法进行调整添加限速规则（Cisco4500）laccess-list 111 permit ip 202.207.152.0 0.0.0.255 anylclass-map match-all 152-upmatch

4、access-group 111lpolicy-map 152-upclass 152-uppolice 10240000 bps conform-action transmit exceed-action drop应用的范围l能对全网流量分布进行统计和描述，指导能对全网流量分布进行统计和描述，指导网管员适当的限速等网管员适当的限速等l对特定网络的流量进行按时间段统计，可对特定网络的流量进行按时间段统计，可以归纳出该网络中用户群使用网络的时间以归纳出该网络中用户群使用网络的时间特征及偏好站点特征及偏好站点/软件等软件等l对于突然的、急剧的变化反映出网络中某对于突然的、急剧的变化反映出网络中某些

5、重要事件的发生，例如病毒发作、设备些重要事件的发生，例如病毒发作、设备损坏等损坏等干路中桥接设备l在网络的出口链路中，桥接具有数据过滤在网络的出口链路中，桥接具有数据过滤/转发功能的设备，例如：网关计费服务器、转发功能的设备，例如：网关计费服务器、防火墙等防火墙等l优点：对数据的捕获能力强并具有控制能优点：对数据的捕获能力强并具有控制能力，可以捕获不同网段的数据，不需要主力，可以捕获不同网段的数据，不需要主干交换设备支持干交换设备支持l缺点：对设备的处理能力要求高，容易造缺点：对设备的处理能力要求高，容易造成网络瓶颈，价格昂贵，不能用于底层网成网络瓶颈，价格昂贵，不能用于底层网络内部数据流量的

6、采集络内部数据流量的采集设备举例lMaxNet IP5000lIP5000是是In-line（桥接）模式的专用硬件产（桥接）模式的专用硬件产品，以品，以DPI（Deep Packet Inspect，深度包，深度包检测）技术为核心，支持软检测）技术为核心，支持软/硬件硬件Bypass，提，提供了基于七层应用的带宽管理和应用优化功供了基于七层应用的带宽管理和应用优化功能。能。应用的范围l能对网络中特定能对网络中特定IP流量进行统计，或对网流量进行统计，或对网络中特定协议流量进行统计，帮助网管员络中特定协议流量进行统计，帮助网管员监测特定用户或特定协议的使用情况监测特定用户或特定协议的使用情况l统

7、计网络中部分病毒的特征，如病毒种类、统计网络中部分病毒的特征，如病毒种类、中毒数量等，帮助网管为用户提出杀毒防中毒数量等，帮助网管为用户提出杀毒防毒建议毒建议镜像端口+旁路监听l通过对设备端口进行镜像，然后使用专用通过对设备端口进行镜像，然后使用专用设备或者安装有专用软件的设备或者安装有专用软件的PC进行监听进行监听l优点：对数据的捕获能力强，在交换设备优点：对数据的捕获能力强，在交换设备支持的情况下，既可以捕获不同网段的数支持的情况下，既可以捕获不同网段的数据，又可以进行底层网络内部数据流量的据，又可以进行底层网络内部数据流量的采集，而且不会由于监听设备处理能力不采集，而且不会由于监听设备处

8、理能力不足而造成网络瓶颈足而造成网络瓶颈l缺点：需要主干交换设备支持缺点：需要主干交换设备支持端口镜像的方法lCiscolSet Span lPort monitorlQuidwayl访问控制列表访问控制列表设备举例lFluke OptiView 协议分析仪协议分析仪lOptiView是采用旁路监听技术的专用硬件产是采用旁路监听技术的专用硬件产品，支持网络流量采集及分析，支持远程访品，支持网络流量采集及分析，支持远程访问及管理，还可以作为流量发生器为网络测问及管理，还可以作为流量发生器为网络测试产生负载。试产生负载。软件举例lSnifferl利用利用Sniffer 的数据捕捉（的数据捕捉（ca

9、pture）功能可）功能可以在短的时间内对网络流量进行实时采集，以在短的时间内对网络流量进行实时采集，这些采集到的流量数据可以包含整个包的信这些采集到的流量数据可以包含整个包的信息，也可以只是包的一部分。利用捕获到的息，也可以只是包的一部分。利用捕获到的包可以进行协议分析、数据重组（如重组包可以进行协议分析、数据重组（如重组E-mail）等工作。对包的解码和分析是）等工作。对包的解码和分析是Sniffer工具的一个最有特色的，也是最强大的功能工具的一个最有特色的，也是最强大的功能总结：三种常用方法的比较智能交换节智能交换节点点+ SNMP干路中桥接干路中桥接设备设备镜像端口镜像端口+旁路监听旁路监听成本成本相对低相对低高高高高跨越子网跨越子网可以可以可以可以设备相关设备相关区别主机区别主机不能不能可以可以可以可以区别协议区别协议不能不能可以可以可以可以瓶颈风