关键字   网络流量  流量采集   NetFlow

 

    对于一个有效的网络管理系统来说，管理功能的实现都或多或少的依赖于网络流量信息的获取。因此网络流量信息采集可以说是网络管理系统得以实现的核心。无论是流量费用统计还是用来分析、预测网络运行状况，对于原始数据的可靠性和完整性的要求都是比较高的。使用一种较为合理的网络流量采集技术，不仅使所采集的原始数据较为准确、完整，而且对网络上相关设备的 影响 较小。 目前 有4种常用的 方法 用于网络流量数据的采集分析：

    (1)基于侦听网络数据包的包分析模式；

    (2)基于路由器MIB库的SNMP代理模式；

    (3)基于安插网络探针（PROBE）技术的IP流量数据捕获形式；

    (4)基于网络数据流(NETFLOW)技术的数据流捕获形式。

    前两种是比较传统的方法。基于侦听网络数据包的包分析模式的优点是：容易实现。缺点是：a.工作站设备的浪费；b增加网络的故障点,c.只能得到有关网络流量大小的信息，但是无法提供流量中有关应用类型的信息。基于SNMP的网络信息采集系统的优点是：可以有效地解决包监听模式的缺点。缺点：a.采集的网络流量数据没有经过任何处理，因此对数据采集数据库的性能要求很高，相应的对机器硬盘空间的要求也很高；b.对网络带宽造成一定的损耗;c.对路由器的CPU和内存资源占用较大；d.由于记录很多，因此选择一个好的采集间隔就比较困难，而且随着网络使用情况的变化，该间隔可能会不适用，从而导致数据的丢失。第三种技术出现较晚，虽然技术先进，但由于其实现依赖于固定厂家的专有设备，故具有一定的限制性。

    下面介绍一种新的网络流量数据采集方法，也就是基于网络数据流技术的数据流捕获形式。它可以有效地解决传统采集方式中存在的缺点，并且提高网络使用的效率，减轻路由器的负载情况，也就是在路由器上配置NetFlow，通过配置的NetFlow数据输出UDP来进行网络信息采集。

    NetFlow交换是Cisco公司为网络管理员提供的可以获得数据网中IP flow信息的一种新的交换技术。NetFlow交换是在网络层实现高性能的交换，它提供了一种高效的机制，可以用来处理安全访问列表，从而不必像其它交换方式那样，为完成同样的任务而付出很高的性能代价。NetFlow交换识别主机之间的网络流量，并在提供服务的同时，对网络流量中的分组进行交换。NetFlow交换对现有的网络是完全透明的，可以在单个网络设备中独立地进行，而不必在网络中的每个路由器中都操作它，网络规划人员可以有选择地激活NetFlow交换，这样可以在特定的网络位置上进行数据流交换、控制和记账。

    从配置了NetFlow交换的Cisco路由器上，就可以收集流量统计的NetFlow流量数据信息，NetFlow以UDP数据报文的形式来输出信息，可以通过Cisco路由器上的配置指定NetFlow流量信息的接收者。目前NetFlow输出的数据报文有V1、V5、V7、V8等不同的版本，取决于Cisco路由器的型号及其IOS的版本。但无论哪个版本，NetFlow报文都是由两部分构成，即报文头（Header）和一个或多个流信息记录（Flow Record），如图1所示：

图1  NetFlow数据报文

    报文头中的版本信息（Version number）来决定如何理解这些数据报文；记录个数（Record count）字段表明该数据报文中包含的流信息记录的个数，可以用它来对记录进行索引；序列号（Sequence number）字段可用来判断NetFlow报文是否有丢失的情况发生。

    以下内容描述了在路由器上NetFlow的配置和维护。

    NetFlow交换是可用的交换模式之一。当在一个接口上配置NetFlow时，这个接口就不能使用其它的交换模式了。还有，利用NetFlow交换，可以把数据输出到一个远端工作站，以便进一步处理它们。在一个路由器中，NetFlow交换涉及到标识数据包信息流、执行交换和处理访问列表。它不涉及路由器之间的任何连接设置协议，也不涉及对其它任何网络设备或端点工作站的连接设置协议。它也不要求对数据包本身或其它任何网络设备进行任何外部修改。所以，NetFlow交换对现有的网络，包括端点工作站、应用软件以及诸如局域网交换机是完全透明的。并且，由于NetFlow交换是在每一个互联网设备上独立运行的，不需要在网络中的每个路由器中都操作它，网络规划人员可以在路由器/接口的基础上有选择地激活 NetFlow交换，从而就可以在特定的网络位置上进行数据流交换、控制和记账。

    完成IP路由器配置后，可以进行以下的配置：