Sdnfuture0902流量监控工具sFlow介绍

流量监控工具sFlow介绍目录2sFlow简介sFlow工作原理sFlow产生背景3互联网及SDN迅速发展的同时，网络安全问题日益成为人们关注的焦点，病毒、恶意攻击、非法访问等都容易影响网络的正常运行。企业级网络规模小、组网灵活、易受攻击等特点，所以企业级网络更容易初夏按组网或者攻击导致的流量业务异常，于是企业用户需要一种以设备接口为基本采样单元的流量监控技术来实时监控流量状况，及时发现异常流量以及攻击流量的源头，从而保证企业网络的正常稳定运行。在此背景下，sFlow应运而生。sFlow简介4sFlow是SampledFlow的简称，由Inmon提出，是一种用于监控数据网络上交换机或者路由器流量转发状况的技术。sFlow流量监控工具,可直观的展现网络中的流量以及其他监控信息。在SDN中有着很重要的作用。sFlow系统包括若干sFlowAgent（内嵌于交换机或者路由器等转发设备）以及一个核心的sFlowCollector。sFlow的功能与作用功能一个典型的sFlow系统提供了一组Agent以及一个Collector，Agent内嵌于网络设备，负责采集相关的流量统计信息；Collector的角色通常由专门的服务器充当，通过在服务器上运行sFlowtrend等专门的sFlowCollector软件，收集Agent发送过来的统计数据，以图形化的统计信息汇总或者以报表的形式输出。作用sFlow可以提供周期性的网络接口统计采样和数据包采样，能够提供各接口的流量信息，且几乎不会对被统计设备造成任何负担，管理成本极低。为企业用户特别是不设置专职网络管理员的企业用户的日常巡检维护提供了极大的方便。sFlow为网络和系统管理提供了通用标准，减少了提供管理融合，虚拟化和云数据中心所需性能的统一端到端视图所需的工具数量。5目录6sFlow简介sFlow工作原理sFlow工作流程7sFlow系统包含一个嵌入在设备中的sFlowAgent和远端的sFlowCollector。其中，sFlowAgent通过sFlow采样获取接口统计信息和数据信息，将信息封装成sFlow报文，当sFlow报文缓存区满或是在sFlow报文缓存时间（例如：缓存时间为1秒）超时后，sFlowAgent会将sFlow报文发送到指定的sFlowCollector。sFlowCollector对sFlow报文进行分析，并显示分析结果。sFlowAgent的基本原理8sFlowAgent是sFlow的客户端设备，在一个典型的部署sFlow的网络中，一般是内嵌于网络转发设备中（比如交换机和路由器），负责收集设备上的流量转发情况并实时发送给sFlowCollector以供分析使用。sFlow报文采用UDP封装，缺省目的端口号为知名端口6343。sFlow的报文采样9sFlowAgent提供了两种采样方式供用户从不同的角度分析网络流量状况，分别为Flow采样以及Counter采样。Flow采样是sFlowAgent设备在指定端口上按照特定的采样方向和采样比对报文进行采样分析，并将分析的结果通过sFlow报文发送到Collector设备的过程。固定采样方式是在设备上启用一个计数器，采样比为1/N时，初时计数器值为N，接口每处理一个报文计数，记数器计数减一，当计数器减到0时，采样当前的报文，重置计数器的计数为N，重复前面的处理随机采样方式是指针对每一个接口处理的报文给一个随机值（假定随机数的取值范围为0～N），设置一个阈值n（n∈[0,N]），当报文的随机值小于这个阈值时，报文采样，这样实际的采样比为n/(N+1)。C