Netstream（网络流）

netstream提供报文统计功能，它根据报文的目的IP地址，目的端口号，源IP地址，源端口号，协议号和tos来区分流信息，并针对不同的流信息进行独立的数据统计。

系统组成

1.NED（NetStream Data Exporter，网络流数据输出者）。NDE负责对网络流进行采集和发送，提取符合条件的流进行统计，并将统计信息输出给NSC设备。输出前也可对数据进行一些处理，比如聚合。配置了NetStream功能的设备在NetStream系统中担当NDE角色。

2.NSC（NetStream Collector，网络流量采集）。NSC通常为运行于Unix或者Windows上的一个应用程序，负责收集和存储来自NED的报文，把数据收集到数据库中，可供NDA进行解析。NSC可以采集多个NDE设备输出的数据，对数据进行进一步的过滤和聚合。

3.NDA（NetStream Data Analyzer，网络流量分析）。NDA是一个网络流量分析工具，它从数据库中提取统计数据，进行进一步的加工和处理，生成报表，为各种业务提供依据（比如流量计费，网络规划，攻击监测）。通常，NDA有图形化界面，使用户可以方便地获取，显示，分析收集到的数据。

工作机制

（1）交换机把采集到的流的详细信息定期发送给NSC

（2）信息由NSC初步处理后，发送给NDA

（3）NDA对数据进行分析，分析结果用于计费和网络规划等。

Netstream的实现

启用Netstream功能后，流信息首先被存储在netstream缓冲区中进行统计，当到达设定的老化时间后，系统就将流统计信息通过netstream统计输出报文（即，流信息经过UDP封装以后产生的报文）发送给NSC，并将改条流信息删除。

分类

这是一种基于“流”来实现对报文统计的技术，网络流就是IP报文，可以是TCP报文，UDP报文，ICMP报文等。

对于IPv4报文：网络流会根据ipv4的源ip，目的ip，源端口，目的端口，协议号，tos服务类型，输出接口，输入接口来定义流，相同的7元组标识为同一条流。

老化方式

       NetStream流老化

      网络流老化是向NSC输出统计信息的前提，当Netstream缓存区达到符合输出的条件时，网络流才会输出至NSC，让NSC进行进一步的分析的做表。

      流老化有5种方式

     1.按活跃时间老化：当一条流的活跃时间（从流创建起到当前时间）超出所有配置的时限时，流信息将被老化。

     2.按不活跃时间老化：当一条流的不活跃时间（从最后一个报文流过到当前时间）超出所配置的时限时，流信息将被老化。

3、按TCP连接的FIN和RST报文触发老化:对于TCP连接，当有FIN或者RST报文发送时，说明一次会话的结束，因此，当一条已经存在TCP协议Netstream流中流过一条有FIN或者RST标志的报文时，会立即该流老化。

4、统计字节超过限制时老化:Netstream缓存区中的流需要记录流过的报文字节数，当字节数超过自定义的变量时，就会造成流溢出，所以系统在检测到某条流的字节数超过限制时，为了避免发生计数错误，会立即对该流进行老化。

5、强制老化:管理员可以通过手工输入命令的方式对流进行老化处理。该功能主要是对未满足老化条件的流进行老化，比如未到老化时间但又需要最新的老化流来统计信息，或者Netstream业务出现故障，需要对缓存区中的流进行全部老化处理。

输出方法

网络流输出指的是当Netstream缓存区中的流达到老化条件时，向NSC输出老化流的过程，方便NSC形成数据库便于后续分析。

Netstream流输出方式

1、原始流输出:所有流信息都要被统计，在达到流老化的条件后，Netstream缓存区中的流全部都要输出到Netstream服务器。优点是可以知道每条流的详细统计信息。缺点是消耗大量的网络资源与CPU资源。

2、聚合流输出:在原始流的基础上，对流进行分类和聚合，抽取能"代表"大部分流的流上传到Netstream服务器，从而得到聚合后的统计信息，能节省网络资源的开销和CPU的负荷。

3、灵活流输出:这种方式最为灵活，可以自定义形成流的条件，这些条件可以是协议号、源目IP地址、源目端口号等方式，从而进行分类的流统计，可以得到"最想要"得到的流统计信息。同时也减少了对网络带宽的消耗。