２０１１年７月情报探索第７期（总１６５期）网络流量监控技术及其应用研究综述琚根贵李艳艳（安徽财经大学管理科学与工程学院蚌埠２３３０４１）（安徽大学管理学院合肥２３０６０１）摘要：对网络漉量监控的原理和内客。网络流量监测技术以及网络流量监控系统的组成、形式、主要用途及应用现状进行总结，并提出进一步研究的方向。关键词：硒络流量监控流量监测技术监控系统中图分类号：Ｇ３５３．１ｌ文献标识码：Ａｄｏｉ：１０．３９６９／ｊ－ｉｓ叭．１００５—８０９５．２０１１．０７．０３０随着现代信息技术的迅猛发展．各企事业单位的信息化程度不断提高，网络环境日趋复杂。在互联网络中，各种网络应用越来越丰富，无论是业务种类还是流量规模都在飞速发展。这些应用时刻都在争夺有限的网络带宽，增大了网络管理的难度［１】。因此。在网络的发展和建设过程中，需要实施网络流量的监控，便于优化网络管理，以满足用户更高质量的业务需求。１流量测量中所测量的流量通常采集自主机节点、服务器、路由器的接口、链路和路径等。所测量流量的实体。即流量测量过程中所需要关注的可以量化表示的基本参数【Ｉ】。主要包括：（１）流量大小。即在不同的聚合层次上、特定时间间隔下采集得到的比特数／字节数或者是数据包数所表示的流量大小。主要包括其在网络正常负载或高负载下的流量数值、最大值、中值、平均值、最小值和方差等。（２）吞吐量。即单位时间内的比特数／字节数或者数据包数。一般也用流量速率表示。根据测量目的的不同．单位时间的时间粒度的选取具有较宽的范围，可以是微秒、纳秒，也可以是日、周、月或年等。（３）带宽情况。可描述网络的使用状况，其主要包括特定链路或者路径的容量带宽、可用带宽等。（４）时间计数。指的是网络流量在时间结构上的属性，通过时间来刻画网络流量的动态变化情况，主要包括流量速率的高峰、低谷、突发和抖动等所出现的时刻：并发连接／会话／应用的高峰、低谷、突发和抖动等所出现的时刻；数据包到达的时间间隔、特定协议完成特定功能的数据包（例如ＩＣＭＰ的主机不可达和网络不可达、ＴＣＰ的ｓＹＮ包和ＲｓＴ包，等等）到达的间隔、流到达的时间间隔、会话／Ａ话建立的时间间隔；流的持续时间、会话／应用的持续时间和ＭＰＬＳ路径的持续时间。等等。（５）延迟情况。主要包括数据包通过路由器时的排队延迟、节点对之间的单向延迟、往返延迟、延迟变化等。（６）流量故障。指的是流量本身中的意外和错网络流量监控的原理和内容网络流量监控的原理网络流量是单位时间内通过网络设备或传输介１．１质的信息量（报文数、数据包数或字节数）。对在网络中不同位置通过不同方法采集不同空间粒度和不同时间粒度下的网络流量，并借助于数理统计、随机过程和时间序列等数学手段针对预先所定义的一系列网络流量的相关属性对网络流量展开分析与研究。得到网络流量的不同属性在其构成、分布、相关性和变化规律与趋势等方面的特征，称为流量测量［２】。网络流量监控就是通过分析和研究网络上所运载的流量特性。从中抽取能够刻廊Ｊ网络流量特征的参数。进而通过对网络流量建模模拟和性能分析，寻找可的性能参数。对流量实施有效的控制、改进和优化网络性能口】。网络为大多数用户的应用提供连通性的媒介。以ＴＣＰ／ｍ协议栈为基础和核心的网络遵循并实现了信息隐藏的原则。将具体的用户级的网络应用抽象为底层的数据帧／包的发送和接收。网络管理人员通过关注和研究数据包／帧形成的网络流量数据．可以了解整个网络的运行态势、网络负载状况、网络安全状况、流量发展趋势、用户行为模式、业务与站点的接受程度。为网络的运行和维护提供重要依据。因此流量监控对于网络性能分析、异常检测、链路状态误，主要包括错误数据包封装、数据包重传和数据包丢包等的比例、速率和突发模式等。２网络流量监测技术网络流量监测技术主要包括：基于流量镜像（在线１’ＡＰ）的协议分析技术、基于硬件探针的分布式监监测、容量规划等发挥着重要作用。１．２网络流量监控的内容收稿日期：２０１０一１１—２５作者简介：琚根贵（１９８７一），女。２００９级硕士研究生，研究方向为信息组织与数据挖掘；李艳艳（１９８５一），女，２０１０级硕士研究生，研究方向为信息资源管理。８６万方数据２０１１年７月琚根贵等：网络流量监控技术及其应用研究综述第７期（总１６５期）测技术、基于ＳＮＭＰ的监测技术、基于Ｎｅｔｆｌ洲的监测技术这４种常用技术。２．１基于流量镜像协议分析流量镜像（在线ｎ心）协议分析方式是把网络设备的某个端口（链路）流量镜像给协议分析仪，通过７层协议解码对网络流量进行监测。协议分析是网络测试的最基本手段．特别适合网络故障分析。缺点是流量镜像（在线’ｎ”）协议分析方式只针对单条链路，不适合全网监测。２．２基于硬件探针的监测技术硬件探针是一种用来获取网络流量的硬件设备。使用时将它串接在需要捕捉流量的链路中，通过分流链路上的数字信号而获取流量信息。一个硬件探针监视一个子网（通常是一条链路）的流量信息。对于全网流量的监测需要采用分布式方案，在每条链路部署一个探针，再通过后台服务器和数据库，收集所有探针的数据．做全网的流量分析和长期报告。２．３基于ＳＮＭＰ的流量监测技术简单网络管理协议（ＳＮＭＰ）首先是由Ｉｍｅｍｅｔ工程任务组织（ＩＥＴＦ）的研究小组为了解决ｈｔｅｍｅｔ上的路由器管理问题而提出的．是一种基于ＴＣ踟参考模型的应用层互联网络管理协议．能对互联网中各种不同类型的设备进行监控和管理。基于ｓＮＭＰ的流量信息采集．实质上是测试仪表通过提取网络设备Ａｇｅｎｔ提供的管理对象信息库（ＭＩＢ）中收集一些具体设备及流量信息有关的变量。基于ＳＮＭＰ收集的网络流量信息包括：输入字节数、输入非广播包数、输入广播包数、输入包丢弃数、输入包错误数、输入未知协议包数、输出字节数、输出非广播包数、输出广播包数、输出包丢弃数、输出包错误数、输出队长等。相似的方式还包括ＲＭＯＮ。２．４基于Ｎｅｍｏｗ的流量监测技术Ｎｅｔｆｌｏｗ流量信息采集是基于网络设备（Ｃｉｓｃｏ）提供的Ｎｅ母０ｗ机制实现的网络流量信息采集。Ｎｅ咀ｏｗ为Ｃｉｓｃｏ之专属协议，已经标准化。并且Ｊｕ．正ｐｅｒ、Ｅｘ骶ｍｅ、华为等厂家也逐渐支持，Ｎｅ饪ｌａｗ由路由器、交换机自身对网络流量进行统计。并且把结果发送到第３方流量报告生成器和长期数据库。一旦收集到路由器、交换机上的详细流量数据后．便可为网络流量统计、网络使用量计价、网络规划、病毒流量分析，网络监测等应用提供计数根据。同时，Ｎｅｔ．丑ｏｗ也提供针对ＱｏＳ（ＱｕａｌｉｔｙｏｆｓｅⅣｉｃｅ）的测量基准，能够捕捉到每笔数据流的流量分类或优先性特性，而能够迸一步根据ＱｏＳ进行分级收费。３网络流置监控系统概述３．１网络流量监控系统的组成网络流量监控系统由原始数据收集硬件和数据处理分析软件构成【４】。原始数据收集硬件可以是单万方数据独的探针式设备．也可以是网络路由器等设备的一部分．其作用是将所关心的链路的流量基本信息收集起来。以特定格式发送给数据处理分析软件；数据处理分析软件可以对原始的流量数据进行分析处理，以统计的形式呈现出来，使网络管理者对网络的当前使用情况一目了然。监控系统也可以分为数据采集、数据传输、数据处理和数据查询４个部分。３．２网络流量监控系统的形式根据原始数据收集硬件和数据处理分析软件这两个模块之间传递数据的形式不同。网络流量监控系统可以归纳为４种形式。下面简单介绍这４种形式并分析各自的主要优点。３．２．１ＳＮＭＰ形式多路由流量图示仪（ＭＲ’Ｉ℃）就是ＳＮＭＰ形式的一个代表。Ｍ砌畦通过ＳＮＭＰ协议读取路由器等网络设备的流量信息。并将流量负载以包含ＰＮＧ格式的图形的ＨｒＭＬ文档方式显示给用户．以非常直观的形式显示流量负载。由于Ｍ砌陋一般是用来监控网络链路链路负载的．因此仅提供流量的负载大小信息。而不会对流量的组成做进一步的分析。Ｍ砌略具有灵活易用、配置简单、源代码开放、界面可定制的优点。３．２．２ＲＭＯＮ形式远端网络监控（ＲＭＯＮ）协议是由ＩＥＴＦ以ＲＦＣ的形式定义的。ＲＭＯＮ是属于ＳＮＭＰ的一个管理信息库（ＭＩＢ）。ＲＭＯＮ形式使用探针式设备目的是收集网络各个分段的流量统计情况。除基本流量统计外，可以对流量做进一步的分类分析，还可以根据设定上报告警。ＲＭＯＮ的优点取决于其标准性和兼容性。并且定义了丰富的功能。３．２．３私有协议形式私有协议形式与ＲＭＯＮ形式类似。也使用探针式设备。但是它更加灵活，除实现ＲＭＯＮ的一些必要功能外．还根据目前网络上的实际情况添加了新的功能。如具有对病毒、攻击等异常流的检测．具有对某种特征业务如Ｐ２Ｐ、ｖｏＩＰ流量的检测等功能。私有形式的最大缺点就是兼容性差。不过它功能灵活，定义细致入微，更能迎合用户的需求。３．２．４ＦＬＯＷ形式流（ｎＤＷ）形式主要指思科的Ｎｅｔｎｏｗ和Ｊｕ．１ｌｉｐｅｒ的ｓｎｏｗ，路由器以ＦＬｏＷ的定义方式将原始流量信息向上报告，经过数据预处理，然后进行分析。与ＲＭＯＮ相对比。ＦＬＯＷ形式在某种意义上也是私有协议形式，不过随着时间的推移。思科的ＮｅｔＦＬｏＷ等应用逐渐广泛．而且思科的ＮｅｔＦＬＯＷｖｅｒ８ｉｏｎ９已经被ＩＥＴＦ采纳为新的ＲＦＣ，所以单独２０１１年７月情报探索第７期（总１６５期）定义一种ＦＬＯＷ形式非常必要。ｓＦＬＯＷ是由ＩｎＭｏｎ公司提出的一种基于“统计采样方式”的高速交换网络流量监控技术，２００１年成为了互联网的一项标准（ＲＦＣ３１７６）。３．３网络流量监控系统的主要用途３．３．１监控流量的大小监控系统主要将中继器等骨干链路监控起来。因为中继器链路直接涉及到使用成本问题．其利用率也是网络利用率的直接体现。３．３．２监控流量的组成网络流量监控系统会将各种流量分门别类．并且标识出每种流量占总流量的比例，使人们对网络中传送的信息流一目了然。一般地。每种网络流量监控系统都会提供我们比较熟悉的ｍ’ＩＰ、ＦＩＰ、ＤＮＳ、ＰＯＰ３、Ｓ１ＭＰ等业务的情况．而对于非正规定义的ＴＣＰ、ＵＤＰ业务往往用其他代替。目前互联网络中的监测热点是Ｐ２Ｐ、ｖｏ口等较难识别的业务。它们占总流量的比例正不断提高。３．３．３异常流量的检测网络中的蠕虫病毒，拒绝服务（ＤｏＳ）攻击类的异常流量等都是网络流量监控系统监控的重要内容。采用有效的检测方法．就能够迅速定位和隔离病毒源，解决网络中的流量冲击问题。３．３－４业务质量参数的统计与业务质量有关的参数。如ＩＰ报头中的业务类型（ＴｏＳ）字段，ＶＬＡＮ帧头中的优先级（Ｐ砌）字段，都是网络流量监控系统统计的对象。另外．在一些网络流量监控系统中还进行具体业务质量的统计。如ＴＣＰ的重传包和字节的数量、ＴＣＰ连接双方往返延时。３．３．５历史记录的检索网络流量监控系统将原始流量数据压缩后以文件形式保存，以备日后查阅，最长时间的记录可以保存一年以上。能根据年、月、日进行检索。针对这些数据进行再加工．可以为网络规划提供详实的数据参考。３．４网络流量监控系统的应用现状网络流量监控系统作为一种可靠、有效的网络业务流量分析工具。目前已广泛应用于各大高校的校园网络管理和企事业单位的信息化建设过程中。支持网络流量负载分析的软件工具也在快速的发展，更新换代。常建龙等人在文献【剐中提出了ＳＭＡＲＴ这一种基于数据流技术的电信网络流量监控系统，其数据流算法技术先进并且拥有完整的系统框架设实际工程为背景．突破以往网络流量解析系统设计系统的设计思想：胥京宇在文献忉介绍了ＩＤＴ推出万方数据的一款创新的统计引擎产品，其智能化的网络架构全面迎合了功能强、安全性高以及成本低的要求，加强了网络流量的监控管理；王培发等在文献嘲中结合中国科技网带宽管理系统描述了生成ＳｖＧ（ｓｃａｌ—ａｂｌｅＶｅｃｔｏｒＧｍｐｌｌｉｃ８）格式的网络流量分析图形的协议分析工具中用到的一些技术以及实现的方法，并分析该方案的诸多优点以及ＳＶＧ的发展趋势；另外．作为网络流量监控技术的一个重要应用——校园网络的流量监控。其方法技术更是呈现多样化，文献附２１介绍了Ｃａｃ６技术、Ｃａｃ碰Ｚ技术、ＭＲｌ＇Ｇ技术以及ＳＦＬｏＷ技术。通过这些技术的应用，可以对路由器、交换机等设备端口流量进行监控，直观了解网络中各个部分的带宽使用情况，及时发现异常网络流量。有效防范黑客和病毒的攻击，提高网络的安全性与运行效率。总之．通过对网络流量监控相关文献的研究分析．可以看出目前网络流量监控技术的进步十分迅速．网络流量监控系统在诸多领域都得到具体的应用。正是由于网络的的快速发展，网络流量监控的方法、工具以及流量测量的模型等方面都有许多问题还需要进一步研究。随着Ｐ２Ｐ应用的发展，网络规模的扩大和网络流量高速增长，网络带宽吞噬问题愈加突出，如何设计更加合理有效的监控技术，平衡网络带宽．提高网络资源利用率将是网络管理中需要进一步研究的方向。参考文献［１］郭春宇．基于应用层网络流量监控的研究［Ｄ］．上海：复旦大学。２００８［２】夏卫锋．网络流量监测研究［Ｊ】．电脑知识与技术，２００１９，５（９）：２０９ｌ一２０９２［３］于磊．网络流量的测量与分析的关键技术研究［Ｄ］．哈尔滨：哈尔滨工业大学．２００８［４］何大中。赵柏隽．优化网络的工具——网络流量监控系统［Ｊ］．现代电信科技，２００５（３）：６２．６４［５】常建龙，闫莺，等．ＳＭＡＲＴ：基于数据流技术的电信网络流量监控系统［Ｊ］．山东大学学报，２００７。４２（１１）：２７—３ｌ［６］周玮．基于ｕＢＰｃＡＰ的网络流量监控系统设计思想与技巧的探讨［Ｊ］．科技信息，２００９，５：４６７却０［７］胥京宇．高性能统计引擎加强网络流量的监控管［８］王培发，张世维，李俊．ｓｖＧ在网络流量监控中的［９】李向龙，刘晓龙．ｃａ砸在校园网络流量监控中的应［１０】宋进红，沈云琴．使用Ｃａｃ龃Ｚ轻松构建校园网络［１１】张永波，尚大影．Ｍ砌旧在校园网络流量监控中的［１２］黄伟强，林南晖，盂克勋．校园网上ｓｎＤＷ网络理［Ｊ］．世界电子元器件，２００６（３）：１０９应用与实现［Ｊ】．微电子学与计算机，２００５，２２（４）：１６２－１６５用［Ｊ］．中国教育网络，２００７。１２：５２－５３．流量监控系统［Ｊ］．河南城建学院学报。２００９，１８（４）：５７－５９应用［Ｊ］．计算机与信息技术，２００ｒ７（１）：５ｌ流量监控设计［Ｊ】．华南师范大学学报。２００７（３）：５７－６ｌ计，已在上海电信高效稳定的运行；文献【６】中周玮以方法的思路．探讨了基于ＵＢＰＣＡＰ的网络流量监控
