NetFlow技术与网络流量分析
 
近来 NetFlow的应用正在不断上升。随着人们对网络应用和相关流量的日益关注，如何有效地了解和掌握网络流量就成为了人们关注的内容。

NetFlow是Cisco公司的IOS软件的一部分，而其当前的版本9目前正在IETF以IPFIX的名称进行标准化。除Cisco公司之外的厂商，如Enterasys和Juniper等，也在该标准形成的过程中发挥着积极的作用，并已表示有兴趣采用IPFIX。这使得NetFlow/IPFIX作为有关异构环境里的网络上的应用流程的信息的一致来源更具吸引力了。

NetFlow的主要功能在于它能够为服务供应商和企业提供网络的容量规划、趋势分析以及数据的优先级方面的信息。这项技术也可以用于基于IP的计费应用和服务级别保证（SLA)的校验服务。

NetFlow的工作原理主要是：NetFlow先记录下初始化IP包的数据，如IP协议类型、服务种类（ToS）、接口标识等，为了更有效对数据进行匹配和计数NetFlow让随后的数据在同一个数据流中进行传输，同时，对它们使用各自相应的服务，如安全性过滤、QoS策略、流量策划等。实时数据被存储在NetFlow的缓存中，通过读取的操作指令就可以重新找回。

在NetFlow的基础上，Cisco公司又提出了NetFlow策略路由（NPR)技术。这个基于Cisco IOS服务的技术，提供了流量规划、IP预先分类的功能，为策略路由提供了高效、高性能的NetFlow机制。由于NPR也支持CEF体系结构，因此可以用于分布式的平台上。

NetFlow的工作很象基于RMON的探针，它能够为用户提供有关特定应用在哪里被使用、为什么被使用、被如何使用以及被谁使用,以及这种使用有可能如何影响网络的信息。NetFlow提供IP源地址、IP目的地址 、源端口、目的端口、三层协议类型和服务级别信息。

几年来，服务提供商一直使用NetFlow。它们一直被NetFlow的如下特点所吸引：

• 在大型WAN环境里所具有的伸缩能力；
• 够帮助支持对等点上的最佳传输流；
• 用来进行建立在单项服务基础之上的基础设施最优化评估；
• 解决服务和安全问题方面所表现出来的价值；
• 为服务计费提供基础;

NetFlow不是万能的，比如它无法提供应用反应时间（这方面可以参看福禄克的SuperAgent网络应用性能分析仪）。考虑到不断增长的动态端口分配趋势，NetFlow在根据端口特征识别应用方面的能力还需要提高。

NetFlow同样对于服务建模以及计费应用很有价值，而且，对于诸如Q1Labs公司和Arbor公司的Peakflow之类的安全厂商很有用，在这方面，NetFlow所具备的捕获异常通信流量的能力对于蠕虫、拒绝服务攻击以及其他与安全相关的问题的报警很有价值。

应该注意的是NetFlow/IPFIX只是捕获和分析应用传输流的众多技术中的一项。NetFlow/IPFIX所具备的与众不同的特点就是它的内在优势：能够利用当前基础设施捕获大型的且通常是分布式网络上的普遍存在的连接特定的通信行为。

过去NetFlow很难实现，而且在性能方面表现也不好。因此，它实际上是无法在大多数IT部门实现的最佳实践。如今的情况发生了很大的变化。调查发现路由器性能影响降低到了最低的大约2%至3%。通常NetFlow部署只需几天到一个星期的时间。采用NetFlow向报告和分析NetFlow的软件提供数据是目前第三方分析系统发展的关键，如福禄克公司最近推出的ReporterAnalyzer网络流量分析仪RA-2500，ReporterAnalyzer从企业级的视角透视网络流量，提供全面的历史和实时网络性能数据从而确定网络性能。通过收集Cisco IOS NetFlow信息，ReporterAnalyzer可以帮助您查看什么应用正在占用带宽，谁、什么时间正在使用它们。这些信息可以确保在整个企业考虑缩减开销、进行故障诊断、能力规划和流量分析时作出精确的抉择。

ReporterAnalyzer的主要功能：

• 根据应用、主机和对话查看广域网和局域网的端口速率、分类统计以及利用率测量值
• 通过业务单位、地理位置、IP子网等合计网络流量
• 可定制时间段以支持工作日的测试报告
• 报告全年网络流量性能
• 对网络上的每个端口提供实时测试报告和告警
• 自动运行定期的测试报告并发送Email
• 通过将端口、IP地址和ToS来详细说明应用
• 包括病毒扫描向导，可以快速报告并对潜在病毒进行告警

 
目前，安恒公司作为福禄克网络公司10年的合作伙伴，正在积极地网络流量分析技术的应用，如果您对ReporterAnalyzer网络流量分析仪感兴趣，您可以联系安恒公司的技术部门与您进行交流。