作者：耿海濤 單位：哈爾濱德強商務學院

1網絡流量監測的必要性及意義

網絡管理中非常重要且非常基礎的一個環節就是網絡流量監測，網絡流量監測即是通過對網絡數據的連續采集，以此來監測網絡的流量。網絡及其重要成分的性能指標也是對網絡流量數據的統計和計算得到的。網絡管理員根據當前的和歷史的存儲網絡及其重要成分的性能的數據數據，就可對網絡及其主要成分的性能進行性能管理，通過數據分析獲得性能的變化趨勢。分析制約網絡性能的瓶頸問題。在網絡流量監測的基礎上，管理員可對感興趣的網絡管理對象設置閾值范圍以配置網絡閾值對象，閾值對象監控實時輪詢網絡獲取定義對象的當前值。若超出閥值的上限和下限則報警，幫助管理員發現網絡瓶頸，這樣即可實現一定程度上的故障管理，而網絡流量監測本身也涉及到安全管理方面的內容。所以，研究網絡流量監測是非常有意義的。

2網絡流量的特性

2.1數據流是雙向的，但通常是非對稱的。互聯網上大部分的應用都是雙向交換數據的，因此網絡的流是雙向的。但是兩個方向上的數據率有很大的差異，這是因為從網站下載時會導致從網站到客戶端方向的數據量比另外一個方向多。

2.2大部分TCP會話是短期的。超過90%的TCP會話交換的數據量小于10K字節，會話持續時間不超過幾秒。雖然文件傳輸和遠程登陸這些TCP對話都不是短期的，但是由于80%的WWW文檔傳輸都小于10K字節，WWW的巨大增長使其在這方面產生了決定性的影響。1.3包的到達過程不是泊松過程大部分傳統的排隊理論和通信網絡設計都假設包的到達過程是泊松過程，即包到達的間斷時間的分布是獨立的指數分布。然而近年來對互聯網絡通信量的測量顯示包到達的過程不是泊松過程。包到達的間斷時間不僅不服從指數分布，而且不是獨立分布的。大部分時候是多個包連續到達，即包的到達是有突發性的。很明顯，泊松過程不足以精確地描述包的到達過程。造成這種非泊松結構的部分原因是數據傳輸所使用的協議。非泊松過程的現象迫使人們懷疑使用簡單的泊松模型研究網絡的可靠性，從而促進了網絡通信量模型的研究。

2.3網絡通信量具有局域性。互聯網流量的局域性包括時間局域性和空間局域性。用戶在應用層對互聯網的訪問反映在包的時間和源及目的地址上，從而顯示出基于時間的相關（時間局域性）和基于空間的相關（空間局域性）。

3網絡流量的監測技術與方法

3.1網絡流量的監測技術種類

（1）基于流量鏡像協議分析。流量鏡像（在線TAP）協議分析方式是把網絡設備的某個端口（鏈路）流量鏡像給協議分析儀，通過7層協議解碼對網絡流量進行監測。與其他3種方式相比，協議分析是網絡測試的最基本手段，特別適合網絡故障分析。缺點是流量鏡像（在線TAP）協議分析方式只針對單條鏈路，不適合全網監測。

（2）基于硬件探針的監測技術。硬件探針是一種用來獲取網絡流量的硬件設備，使用時將它串接在需要捕捉流量的鏈路中，通過分流鏈路上的數字信號而獲取流量信息。一個硬件探針監視一個子網（通常是一條鏈路）的流量信息。對于全網流量的監測需要采用分布式方案，在每條鏈路部署一個探針，再通過后臺服務器和數據庫，收集所有探針的數據，做全網的流量分析和長期報告。與其他的3種方式相比，基于硬件探針的最大特點是能夠提供豐富的從物理層到應用層的詳細信息。但是硬件探針的監測方式受限于探針的接口速率，一般只針對1000M以下的速率。而且探針方式重點是單條鏈路的流量分析，Netflow更偏重全網流量的分析。

（3）基于SNMP的流量監測技術。基于SNMP的流量信息采集，實質上是測試儀表通過提取網絡設備Agent提供的MIB（管理對象信息庫）中收集一些具體設備及流量信息有關的變量。相似的方式還包括RMON。與其他的方式相比，基于SNMP的流量監測技術受到設備廠家的廣泛支持，使用方便，缺點是信息不夠豐富和準確，分析集中在網絡的2、3層的信息和設備的消息。SNMP方式經常集成在其他的3種方案中，如果單純采用SNMP做長期的、大型的網絡流量監控，在測試儀表的基礎上，需要使用后臺數據庫。

（4）基于Netflow的流量監測技術。Netflow流量信息采集是基于網絡設備（Cisco）提供的Netflow機制實現的網絡流量信息采集。Netflow為Cisco之專屬協議，已經標準化，并且Juniper、extreme、華為等廠家也逐漸支持，Netflow由路由器、交換機自身對網絡流量進行統計，并且把結果發送到第3方流量報告生成器和長期數據庫。一旦收集到路由器、交換機上的詳細流量數據后，便可為網絡流量統計、網絡使用量計價、網絡規劃、病毒流量分析，網絡監測等應用提供計數根據。Netflow方式是網絡流量統計方式的發展趨勢。在綜合比較四種技術之后，不難得出以下結論：基于SNMP的流量監測技術能夠滿足網絡流量分析的需要，且信息采集效率高，適合在各類網絡中應用。

3.2網絡流量的監測方法

流量監測包括測量工具/系統的部署、流量數據的采集（包括數據包捕獲、歸并和采樣處理等）、數據包的解析和處理、測量實體量化數值的獲得與統計分析、流量特征化描述、流量存儲和查詢表示、流量建模等多個環節，具有相對復雜的處理和分析過程。目前存在有眾多種流量測量的實現方法，他們可適用不同的測量環境、滿足不同的測量要求，并且有著不同的實現方式。基于硬件的測量通常需要設計和應用特定的硬件設備來對流量數據進行采集和分析。被測量的流量并非由普通的商用計算機直接獲得，而是需要從服務器、交換機、路由器等特定的網絡設備上經過一定處理后導出，然后再由普通的商用計算機完成后續的流量處理和統計分析等工作。不同形式的數據，對應要求在普通的商用計算機上通過不同的程序或軟件實現相應的流量處理和統計分析功能。

4結語

作為網絡管理人員，必須對網絡上運行的各種應用有著確定的了解。在已組建的網絡中，我們無法強制限制用戶的各種應用。一個應用不明確的網絡，即使規劃再科學，也有可能因為病毒、木馬或其它流量導致網絡的擁塞。所以，只有對網絡上的各種流量進行長期的監測，然后通過在接入ACL、核心交換機的流量控制以及網絡防火墻上流量策略等技術手段來保證網絡的正常穩定的運行。