sflow

网络监测技术

sFlow 是由InMon、HP 和FoundryNetworks 于2001 年联合开发的一种网络监测技术，它采用数据流随机采样技术，可提供完整的第二层到第四层，甚至全网络范围内的流量信息，可以适应超大网络流量(如大于10Gbit/s)环境下的流量分析，让用户详细、实时地分析网络传输流的性能、趋势和存在的问题。

概念释义

完全的网络管理一直是从小到大各种规模的公司长期追求的目标。努力理解所有可能的传输流量、带宽需求、性能含义、安全威胁和计费分配仅仅是当今网络管理人员所面临的挑战中的很小一部分。随着网络在规模、速度和容量方面的发展，采用基于RMON或NetFlow计数器和统计的传统工具进行监视和管理变得越来越困难。

sFlow是基于标准的最新网络导出协议（RFC 3176），能够解决当前网络管理人员面临的很多问题。通过将sFlow技术嵌入到网络路由器和交换机ASIC芯片中，sFlow已经成为一项线速运行的“一直在线”技术。与使用镜像端口、探针和旁路监测技术的传统网络监视解决方案相比，sFlow能够大大降低实施费用，采用它，一种面向每一个端口的全网络监视解决方案成为可能。

标准介绍

与数据包采样技术如RMON不同，sFlow是一种导出格式，它增加了关于被监视数据包的更多信息，并使用嵌入到网络设备中的sFlow代理转发被采样数据包，因此在功能和性能上都超越了当前使用的RMON、RMON II和NetFlow技术。接收sFlow数据包的设备称为采集器（Collector）。sFlow技术之所以如此独特，主要在于它能够在整个网络中以连续实时的方式完全监视每一个端口，但不需要镜像监视端口，对整个网络性能的影响也非常小。

sFlow使拥有高速千兆和万兆端口的现代网络能够得到精确的监视，同时，经过扩展，可以在一个采集点上管理数万个端口。因为sFlow代理嵌入在网络路由器和交换机ASIC中，所以与传统的网络监视解决方案相比，这种方法的实施成本要低得多。而且，也不需要购买额外的探针和旁路器就能全面监视整个网络。

与那些需要镜像端口或网络旁路器来监视传输流量的解决方案不同，在 sFlow 的解决方案中，并不是每一个数据包都发送到采集器。 sFlow使用两种独立的采样方法来获取数据 — 针对交换数据流的基于数据包的统计采样方法和基于时间的采样的针对网络接口统计数据（类似RMON的轮询）。而且，sFlow还能使用不同的采样率对整个交换机或仅对其中一些端口实施监视，这样保证了在设计管理方案时的灵活性。与以前的网络监视技术，如RMON、RMON II和NetFlow相比，sFlow的主要优势在于：

sFlow带来的好处

sFlow的安全应用

传统的网络安全解决方案要实现整个企业的安全越来越需要耗费大量资源。现代网络中的千兆、几千兆和万兆以太网链路使防火墙和IDS越来越难以承担监视和控制流量的任务，将防火墙和IDS放置在关键网络如服务器群组和拥有大量知识资产的部门的入口点，将会带来以下几个问题：

一个非常好的类似例子是赌场的安全监视摄像机，安全监视系统使赌场的保安部门能够连续监视整个赌场的每个角落，而不仅仅是前门。sFlow技术的作用与其类似，它使IT和安全部门的人员能够时刻监视整个校园网络，而对网络基础设施不造成任何开销。

虽然sFlow并不是转发所有的数据包进行安全分析的完全“镜像端口”或“网络旁路”技术，但它可以提供适合安全监视和策略执行的大量信息，其优势在于能够向安全采集器提供实时的采样数据进行分析，从而提供整个网络的连续监视能力。利用从第2到第7层的完整、详细的信息，安全威胁能够被识别出来，并得到良好的控制。通过在网络设备的ASIC芯片中实现数据收集技术，即使是网络在受到大量的拒绝服务攻击时也不会影响性能。在遭到拒绝服务攻击时，恶意流量急剧增加，而被采样的数据包也将与恶意流量成比例的增加，这样可以快速判断出攻击行为，从而保障采集器不会由于攻击数据包的增加而过载。

采样数据可以用于创建进行流量比较的正常使用基准。这些基准可用于显示出：

sFlow在发现流量出现以下情况时就怀疑安全可能有问题：

全国各地天气预报查询

上海市

云南省

云南省

云南省

云南省