隨著網(wǎng)絡(luò)應(yīng)用的蓬勃發(fā)展，很多企業(yè)的網(wǎng)絡(luò)帶寬大幅增加，而網(wǎng)絡(luò)使用的效能卻沒有成正比的提升。要做到有效的網(wǎng)絡(luò)管理，就需要通過網(wǎng)絡(luò)監(jiān)控機(jī)制搜集相關(guān)信息，主動找出問題點(diǎn)并加以解決。NetFlow 就是一種提供網(wǎng)絡(luò)流量相關(guān)信息的協(xié)議，網(wǎng)管人員通過NetFlow 可以快速有效地掌握所管轄網(wǎng)絡(luò)的狀態(tài)。
傳統(tǒng)上的網(wǎng)絡(luò)管理者通常是通過SNMP (Simple Network Management Protocol) 協(xié)議的工具從支持SNMP的網(wǎng)絡(luò)設(shè)施搜集網(wǎng)絡(luò)流量數(shù)據(jù)，雖然通過這種方式取得信息不會造成處理上過重的負(fù)擔(dān)，但是SNMP 提供的只是粗糙、簡略的資料。這些信息只能讓管理者發(fā)現(xiàn)問題，卻無法進(jìn)一步解決問題。
那么有沒有另外一種能提供更詳細(xì)網(wǎng)絡(luò)信息的技術(shù)呢？網(wǎng)絡(luò)探針(sniffer) 或是類似的監(jiān)聽工具開始被部署在網(wǎng)絡(luò)設(shè)備上，用來捕捉流過的數(shù)據(jù)包并將數(shù)據(jù)包加以翻譯，找出數(shù)據(jù)包頭中字段的相關(guān)信息，并進(jìn)一步分析其內(nèi)容以取得更詳細(xì)的信息。
雖然通過數(shù)據(jù)包監(jiān)聽工具可以取得更詳細(xì)的網(wǎng)絡(luò)信息，但監(jiān)聽工具通常專注在單一網(wǎng)絡(luò)數(shù)據(jù)包的內(nèi)容，所以網(wǎng)絡(luò)管理者很難從監(jiān)聽工具所提供的信息來掌握整體網(wǎng)絡(luò)的狀態(tài)。此外，分析數(shù)據(jù)包非常耗費(fèi)時間，而且數(shù)據(jù)包監(jiān)聽所儲存并需要分析的數(shù)據(jù)量非常龐大，對于資源和人員的消耗是驚人的，這種方式顯然不適合企業(yè)環(huán)境下的網(wǎng)絡(luò)管理。
什么是NetFlow
NetFlow 是由Cisco 公司的Darren Kerr 和Barry Bruins 在1996 年開發(fā)的一套網(wǎng)絡(luò)流量監(jiān)測技術(shù)，目前已內(nèi)建在大部分Cisco 路由器上，Juniper、Ex-treme、港灣網(wǎng)絡(luò)等網(wǎng)絡(luò)設(shè)備供貨商也支持NetFlow 技術(shù)，它已逐漸成為大家都能接受的標(biāo)準(zhǔn)。NetFlow 本身是一套網(wǎng)絡(luò)流量統(tǒng)計協(xié)議，其主要原理是根據(jù)網(wǎng)絡(luò)數(shù)據(jù)包傳輸時，連續(xù)相鄰的數(shù)據(jù)包通常是往相同目的地IP 地址傳送的特性，配合cache 快取機(jī)制，當(dāng)網(wǎng)絡(luò)管理者開啟路由器或交換機(jī)接口的NetFlow 功能時，設(shè)備會在接收數(shù)據(jù)包時分析其數(shù)據(jù)包的標(biāo)頭部分來取得流量資料，并將所接到的數(shù)據(jù)包流量信息匯整成一筆一筆的Flow，在NetFlow 協(xié)議中Flow 是被定義為兩端點(diǎn)間單一方向連續(xù)的數(shù)據(jù)流，這意味著每一個網(wǎng)絡(luò)的連接都會被分別紀(jì)錄成兩筆Flow 數(shù)據(jù)，其中一筆記錄從客戶端連到服務(wù)器端，另外隨著一筆紀(jì)錄從服務(wù)器端連回到客戶端的信息。
網(wǎng)絡(luò)設(shè)備通過以下字段來區(qū)分每一筆Flow：來源IP 地址(source IP address)、來源端口號(source port number)、目的IP 位址(destination IP address)、目的端口號(destination port number)、協(xié)議種類(protocol type)、服務(wù)種類(type of service)及路由器輸入接口(router input interface)，任何時間當(dāng)設(shè)備接收到新的數(shù)據(jù)包時，會檢視這七個字段來判斷這個數(shù)據(jù)包是否屬于任何已記錄的Flow，有的話則將新收集到的數(shù)據(jù)包的相關(guān)流量信息整合到對應(yīng)的Flow 記錄中，如果找不到數(shù)據(jù)包對應(yīng)的Flow 記錄，便產(chǎn)生一個新的Flow 記錄來儲存相關(guān)的流量信息。由于設(shè)備內(nèi)高速緩存的空間有限，無法無限制地容納持續(xù)增加的Flow 紀(jì)錄，所以NetFlow 協(xié)議也定義了終結(jié)Flow記錄的機(jī)制，來維持網(wǎng)絡(luò)設(shè)備中儲存Flow 信息的空間。
摩卡流量分析的優(yōu)勢
摩卡流量分析(Mocha NTA)不僅支持Netflow協(xié)議，還支持Netstream、Sflow、Cflow、IPFIX等各廠家協(xié)議標(biāo)準(zhǔn)；無論是哪種Flow格式，都定義了數(shù)據(jù)交互的標(biāo)準(zhǔn)格式，摩卡能夠通過這些格式規(guī)范支持業(yè)內(nèi)幾乎所有的主流網(wǎng)絡(luò)設(shè)備，如Cisco、Foundry、Extreme、Juniper、華為、H3C等，保證了對采集目標(biāo)設(shè)備流量良好的兼容性。
摩卡流量分析為用戶提供多種TOP N分析，對相關(guān)應(yīng)用的流量和數(shù)據(jù)包的分析，對網(wǎng)絡(luò)中運(yùn)行的應(yīng)用有直觀的了解、網(wǎng)絡(luò)中運(yùn)行的協(xié)議也可以清晰展現(xiàn)、實(shí)時查看網(wǎng)絡(luò)中相關(guān)接口的狀態(tài)、確認(rèn)流量流出的相關(guān)情況、幫助管理人員了解到網(wǎng)絡(luò)中哪個用戶正在大量的下載或者上傳數(shù)據(jù)，確認(rèn)網(wǎng)絡(luò)問題、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)掃描、網(wǎng)絡(luò)異常的所在有著極高的助力并提供了有力的依據(jù)。
 |
| 圖1 |
摩卡流量分析還為用戶提供了提供應(yīng)用映射功能，基于三層協(xié)議號、端口號，可識別上千種已知應(yīng)用(比如：HTTP應(yīng)用、FTP應(yīng)用、MAIL應(yīng)用、BT、電驢、病毒攻擊等等)，并且用戶可以根據(jù)自身的情況來進(jìn)行自定義應(yīng)用映射，當(dāng)網(wǎng)內(nèi)出現(xiàn)新應(yīng)用的時候，很容易進(jìn)行新應(yīng)用的識別，這樣管理人員就可以很清晰的了解到網(wǎng)絡(luò)中的應(yīng)用情況。
 |
| 圖2 |
