NetFlow网络流量分析

NetFlow是思科开发的协议。它用于记录有关穿越网络设备（如路由器，交换机或主机）的IP流量的元数据。启用NetFlow的设备会在接口级别生成元数据，并将此信息发送到流收集器，在流收集器中存储流记录以启用网络流量分析。网络运营商可以使用NetFlow数据来确定特定接口级别的网络吞吐量，数据包丢失和流量拥塞。

NetFlow变体

尽管术语“ NetFlow”通常用于指代所有类型的流记录，但实际上在常规使用中还有其他三个重要变体：

• IPFIX是一种IETF标准流记录格式，其方法和结构与NetFlow非常相似。（您可以在这里深入了解这些差异。）
• 来自Juniper Networks的J-Flow，基本上符合NetFlow v5。
• sFlow  由InMon Corp引入和推广，但与NetFlow不同，它依赖于统计采样方法来记录流量。

术语xFlow <虽然不是变体，但通常是用于统称所有流记录变体的通用术语，例如NetFlow，IPFIX，J-Flow，sFlow等。您可以在此处阅读有关流协议的更多信息。

NetFlow组件

NetFlow监视解决方案通常由三个主要组件组成：

• 导出器：启用NetFlow的设备会生成流记录，并定期将其导出到流收集器。导出器将流标识为具有（至少）共有（至少）以下属性的单向包流：IP源地址，IP目标地址，源端口号，目标端口号，第3层协议字段和服务类型。
• 收集器：在服务器或云基础结构上运行的程序，用于接收，存储和预处理来自启用NetFlow的设备的流记录。
• 应用程序：一种分析应用程序，用于将流收集器收集的流记录处理为报告，警报，仪表板和其他结果。

性能监控

给定的一组数据包被定义为流，它构成了NetFlow“流记录”中包含的核心元数据（即有关流的信息，而不是数据包中实际存在的信息）。当新的单向IP通信流开始遍历设备时，将创建新的NetFlow流记录并通过设备的板载缓存对其进行跟踪。流记录的时间分析可以在整个网络中监视各种网络元素之间的性能，因为NetFlow设备总共不断地导出其信息以供分析应用程序处理。

用例

使用NetFlow提供了解决网络运营商遇到的许多常见挑战的见识，包括：

• 监控网络流量的主要贡献者
• 了解应用程序流量及其对网络的影响
• 优化互联网对等关系
• 故障排除和了解网络拥塞点
• 检测未经授权的WAN流量
• DDoS和异常检测
• 验证QoS参数

这使各种内部组织（例如网络运营，工程，规划，体系结构和安全性）可以将NetFlow分析用作网络智能的主要来源。合并的NetFlow流量分析可以减少管理网络所需的硬件和软件技术的数量，降低网络管理成本，并增强跨组织的协作和通信。