業(yè)內(nèi)主流的Flow協(xié)議技術(shù)
網(wǎng)絡業(yè)界基于流(Flow)的分析技術(shù)主要有NetFlow、sFlow、cFlow和NetStream四種。NetFlow是Cisco公司的獨有技術(shù)，它既是一種流量分析協(xié)議，又是一種流交換技術(shù)，同時也是業(yè)界主要的IP計費方式。通過NetFlow可以回答有關(guān)IP流量方面的問題，比如誰在什么時間、在什么地方、使用何種協(xié)議、訪問誰、具體的流量是多少等。Netflow協(xié)議的主要版本有V5、V8和V9。其中應用較為廣泛的是V5和V8版本。NetFlow憑借Cisco網(wǎng)絡產(chǎn)品市場占有率的優(yōu)勢而成為當今應用最為廣泛的流量分析技術(shù)。
sFlow是由InMon、HP和Foundry Networks聯(lián)合開發(fā)的一種網(wǎng)絡監(jiān)測技術(shù)，它采用數(shù)據(jù)流隨機采樣技術(shù)，可以適應超大網(wǎng)絡流量環(huán)境下的流量分析，讓用戶可以詳細、實時地分析網(wǎng)絡傳輸流的性能、趨勢和存在的問題。目前，僅有HP、Foundry和 Extreme Networks等廠商的部分型號的交換機支持sFlow。
cFlow與Netflow原理及機制基本一樣，是Juniper公司特有的流協(xié)議技術(shù)。
NetStream是H3C公司提出的一種網(wǎng)流技術(shù)，與NetFlow技術(shù)的原理類似，但在實現(xiàn)機制上增加了出方向流統(tǒng)計功能(NetFlow只支持入方向的流統(tǒng)計)。Netstream全面支持多核CPU以及全分布式處理，大幅度提升了設備整機網(wǎng)流分析的處理能力，為用戶進行網(wǎng)絡通訊流量的管理、分析和計費提供了一種經(jīng)濟的大容量解決方案。
流量分析技術(shù)的發(fā)展趨勢
傳統(tǒng)的基于SNMP的NMS軟件能對網(wǎng)絡設備的整體流量進行監(jiān)控，可以獲得設備端口的實時或者歷史的流入/流出帶寬、丟包、誤包等性能指標，而無法對具體協(xié)議種類和應用流量組成做進一步分析。而在基于網(wǎng)絡探針(Probe)的分析技術(shù)中，“探針”和軟件之間的接口一般是私有接口，第三方軟件無法使用，并且此種軟硬件相結(jié)合的解決方案通常都價格昂貴、部署也不是很方便。基于實時抓包的分析技術(shù)雖然提供了詳細的協(xié)議分析數(shù)據(jù)，但缺少對于用戶流量訪問的統(tǒng)計和趨勢分析，僅能在短時間內(nèi)對流經(jīng)接口的數(shù)據(jù)包進行分析，無法滿足大流量、長時間進行統(tǒng)計和分析的要求。
在基于Flow的流分析技術(shù)中，網(wǎng)絡流(Network Flow)通常被定義為指定源節(jié)點和目的節(jié)點之間傳輸?shù)膯蜗驍?shù)據(jù)包/幀序列。通常，網(wǎng)絡設備(3層交換機、路由器等)本身提供了基于IP包頭的分析功能，負責網(wǎng)絡流數(shù)據(jù)的分析和整理，按照一定的條件和定義的數(shù)據(jù)格式向流采集器(Flow Collector)輸出數(shù)據(jù)，然后通過相關(guān)的軟件將采集到的流數(shù)據(jù)進行整理、分析和客戶端展現(xiàn)。這種基于流協(xié)議的分析方法具有價格低廉、部署方便的優(yōu)點，可以適應長時間、大流量環(huán)境下的數(shù)據(jù)采集和分析。最近，IETF的技術(shù)人員正在制訂IPFIX(IP Flow Information Export)規(guī)范，使得網(wǎng)絡中流量統(tǒng)計信息的格式趨于標準化。IPFIX基于Cisco的NetFlow V9設計，可以設定數(shù)據(jù)輸出的模板格式，具有很強的可擴展性。
基于單采集器的多種流協(xié)議分析的實現(xiàn)
目前國內(nèi)廠商對于流協(xié)議分析的各種軟件產(chǎn)品，通常安裝單個采集器只支持分析一種流協(xié)議。在面向大型行業(yè)用戶大規(guī)模網(wǎng)絡環(huán)境的流量監(jiān)控中，為實現(xiàn)對遍布在全網(wǎng)中的多個核心設備的流協(xié)議分析，需要安裝多臺數(shù)據(jù)采集服務器并部署多個流量采集探針。這樣不僅增加整個流量分析系統(tǒng)部署的工作量及難度，同時也大大增加了用戶的投資成本。
摩卡網(wǎng)絡流量分析( Mocha Network Traffic Analyzer )產(chǎn)品，是摩卡軟件公司( Mocha Software Co., Ltd. )針對各行業(yè)用戶的網(wǎng)絡系統(tǒng)，通過支持各種廠家的流量分析協(xié)議，以實現(xiàn)對全網(wǎng)通信流量的監(jiān)控、分析和統(tǒng)計的流量分析軟件，可以有效解決用戶關(guān)于當前網(wǎng)絡流量分別由哪些應用(協(xié)議)組成、各占多大的比例，哪些用戶的訪問數(shù)據(jù)量最大，分別使用什么協(xié)議，數(shù)據(jù)源和目的地是什么等問題。
Mocha NTA產(chǎn)品支持多種網(wǎng)絡流協(xié)議分析技術(shù)，包括Netflow、sflow、cflow、IPFIX、NetStream等各廠家協(xié)議標準。無論是哪種Flow格式，都定義了數(shù)據(jù)交互的標準格式，摩卡能夠通過支持這些格式規(guī)范實現(xiàn)對業(yè)內(nèi)所有主流網(wǎng)絡設備，如Cisco、Foundry、Extreme、Juniper、華為、H3C的數(shù)據(jù)流量分析，保證了對流量采集設備良好的兼容性。與眾多國內(nèi)廠家流協(xié)議分析技術(shù)不同的是，Mocha NTA產(chǎn)品支持同時在多個不同廠家的網(wǎng)絡設備上開啟Flow分析協(xié)議，通過將多臺設備的Flow數(shù)據(jù)同時發(fā)往Mocha NTA的一個流量采集器的指定端口，實現(xiàn)了基于單個采集器的多種流協(xié)議的數(shù)據(jù)流量分析。
如圖所示，Mocha NTA流量分析系統(tǒng)的架構(gòu)非常易于部署，只需要在企業(yè)內(nèi)部網(wǎng)絡中部署一臺摩卡流量采集分析器，然后將所有需要進行流量監(jiān)控的網(wǎng)絡設備的流量數(shù)據(jù)發(fā)送摩卡流量采集分析器即可。摩卡流量采集器(Mocha Flow Collector)既可以和Mocha BSM 網(wǎng)管系統(tǒng)部署在同一臺機器上，也可獨立部署在網(wǎng)絡中的任何位置。IT管理人員可以通過終端瀏覽器訪問到全網(wǎng)數(shù)據(jù)流量的監(jiān)控和統(tǒng)計數(shù)據(jù)，及時發(fā)現(xiàn)網(wǎng)絡中的異常流量事件，并加以處理。
總結(jié)
Mocha NTA產(chǎn)品允許用戶通過統(tǒng)一的展現(xiàn)入口——Portal，實現(xiàn)對全網(wǎng)所有數(shù)據(jù)通信流量的集中監(jiān)控。這種基于單采集器的多種流協(xié)議分析的實現(xiàn)方式，使用戶可以通過一臺數(shù)據(jù)采集器即可同時監(jiān)控全網(wǎng)中所有啟用NetFlow、Sflow、NetStream的網(wǎng)絡設備的流量數(shù)據(jù)，不僅降低了整個系統(tǒng)部署的復雜程度，也為用戶監(jiān)控多臺設備節(jié)省了大量投資，達到了事半功倍的效果。
