NetFlow技术简介

NetFlow是一种网络数据包交换技术，该技术首先被用于网络设备对数据交换进行加速，并可同步实现对高速转发的IP数据流(Flow)进行测量和统计。经过多年的技术演进，NetFlow原来用于数据交换加速的功能已经逐步改为由网络设备中的专用集成电路(ASIC)芯片实现，而对流经网络设备的IP Flow进行测量和统计的功能却更加成熟，并成为当今互联网领域公认的最主要的IP流量分析、统计和计费行业标准。

NetFlow如何在网络中监测业务流量

为对网络中不同类型的业务流进行准确的流量和流向分析与计量，首先需要对网络中传输的各种类型数据包进行区分。由于IP网络的非面向连接特性，网络中不同类型业务的通信可能是任意一台终端设备向另一台终端设备发送的一组IP数据包，这组数据包实际上就构成了网络中某种业务的一个 Flow。如果管理系统能对全网传送的所有Flow进行区分，准确记录传送时间、传送方向和Flow的大小，就可以对全网所有业务的流量和流向进行分析和统计。

通过分析网络中不同Flow之间的差别，可以发现判断任何两个IP数据包是否属于同一个Flow，实际上可以通过分析IP数据包的以下7个属性来实现:

◐ 源IP地址;

◐ 目标IP地址;

◐ 源通信端口号;

◐ 目标通信端口号;

◐ 第三层协议类型;

◐ 服务类型(TOS)字节;

◐ 网络设备输入或输出的逻辑网络端口(iflndex)。

NetFlow流量采集对业务网络的影响评估

带宽占用

采用NetFlow方案不要求处理从某个接口接收到的每个数据包，用来对被监控设备进行流量分析的数据来自采集到的NetFlow数据。根据计算，在采样率为1000:1时，对 10Gbit/s的流量进行NetFlow分析，只产生1.3Mbit/s的流量。因此，NetFlow产生的这部分流量对于骨干网的带宽占用很少。

路由性能消耗

利用NetFlow技术实现流量监测需要路由器开启NetFlow协议以配合采集数据，因此会对设备的CPU造成一定的负担。如果开启Netflow时对所有数据包100%采集时对设备的影响统计如下：

◑ 如果有10000条同时在线的Flow，则路由器的CPU使用率平均增加7.14%;

◑ 如果有45000条同时在线的Flow，则路由器的CPU使用率平均增加19.16%;

◑ 如果有65000条同时在线的Flow，则路由器的CPU使用率平均增加22.98%。

这些数据是基于不同的产品系列进行测试的平均值。然而网络设备开启netflow时可以在采样方式下开启NetFlow，这样对路由器的CPU影响会更小。根据公司的统计资料显示，在全数据包采集方式下需要增加 22.98%的CPU使用率来处理65 000条Flow，而在采用100:1的采样率时CPU使用率仅增加3%。

流量采集点的设置

流量分析系统由采集机和分析服务器组成。被采集的路由器将NetFlow数据包发往NetFlow流量采集机，采集机将采集到的NetFlow数据送到分析服务器进行分析。被采集的路由器分布在全网各个节点，当系统规模较大时，需要配置多台采集机和分析服务器。采集机和分析服务器的部署有以下两种方案。

方案一

将采集机分别部署在各个核心节点，每个核心节点的采集机负责采集连接至该核心节点的路由器;分析服务器集中部署在网管中心。该方案采集机通过以太网接口接入核心路由器或与核心路由器连接的局域网交换机，实现与被采集路由器的互通。利用用户数据报协议(UDP)从被采集路由器上的端口采集 NetFlow数据，再通过IP网络传送到分析服务器，由分析服务器进行数据汇总和分析处理，如下图所示。

该方案的优点是，在至分析服务器的IP网络连接出现突发故障时，可以充分利用采集机的存储能力，暂存NetFlow数据，待网络连接恢复时，再向分析服务器传送;这种分布式的部署方案还可以避免单点出现故障时导致全网流量无法采集，而且采集机还可以进行一些预处理工作，减轻分析服务器的压力。缺点是每个核心节点都需要配备一套采集机，设备的综合利用率不够高，管理和维护不够集中。

方案二

采集机和分析服务器集中部署，由多台采集机共同负责采集全网内的路由器。该方案采集机通过以太网接口接入网管中心，实现与全网内被采集路由器的互通，采集机利用UDP通过IP网络从各节点被采集路由器上的端口采集NetFlow数据，再通过局域网传送到分析服务器，由分析服务器进行数据汇总和分析处理，如下图所示。

该方案的优点是，流量分析系统设备集中部署，便于统一管理和统一维护，也提高了设备的利用率;缺点是如果IP网络不稳定或发生故障时，路由器的NetFlow数据将不能传送到网管中心，处理不当可能造成NetFlow数据的丢失。

实际部署时应根据具体的要求来选择合适的系统组织方案。

浪潮网络全系列交换机均支持NetFlow的网络业务流量监测技术，同时浪潮网络的IDE（智能数字引擎）支持对NetFlow流数据的采集与展示，可同步支持除含Netflow在内的多种网络管理与监测技术。