網(wǎng)絡(luò)流量分析解決方案

1、網(wǎng)絡(luò)流量分析網(wǎng)絡(luò)流量分析楊林海v網(wǎng)絡(luò)流量分析是一個(gè)有助于網(wǎng)絡(luò)管理者進(jìn)行網(wǎng)絡(luò)流量分析是一個(gè)有助于網(wǎng)絡(luò)管理者進(jìn)行網(wǎng)絡(luò)規(guī)劃、網(wǎng)絡(luò)優(yōu)化、網(wǎng)絡(luò)監(jiān)控、流量趨勢(shì)網(wǎng)絡(luò)規(guī)劃、網(wǎng)絡(luò)優(yōu)化、網(wǎng)絡(luò)監(jiān)控、流量趨勢(shì)分析等工作的工具，通過(guò)對(duì)網(wǎng)絡(luò)信息流分析等工作的工具，通過(guò)對(duì)網(wǎng)絡(luò)信息流（NetStream）的采集并分析可幫助網(wǎng)絡(luò)管）的采集并分析可幫助網(wǎng)絡(luò)管理者得到網(wǎng)絡(luò)流量的準(zhǔn)確信息，為網(wǎng)絡(luò)的正理者得到網(wǎng)絡(luò)流量的準(zhǔn)確信息，為網(wǎng)絡(luò)的正常、穩(wěn)定、可靠運(yùn)行提供保障。常、穩(wěn)定、可靠運(yùn)行提供保障。流量分析方案背景流量分析方案背景v網(wǎng)絡(luò)的可視性網(wǎng)絡(luò)的可視性v網(wǎng)絡(luò)利用率如何？v什么樣的程序在網(wǎng)絡(luò)中運(yùn)行？v主要用戶(hù)有哪些？v網(wǎng)絡(luò)中是否產(chǎn)生異常流

2、量？v有沒(méi)有長(zhǎng)期的趨勢(shì)數(shù)據(jù)用作網(wǎng)絡(luò)帶寬規(guī)劃？v當(dāng)前網(wǎng)內(nèi)有哪些應(yīng)用？v分別產(chǎn)生了多少流量？v網(wǎng)絡(luò)中應(yīng)用使用的模式是什么？v企業(yè)內(nèi)部重要應(yīng)用執(zhí)行狀況如何？v用戶(hù)使用網(wǎng)絡(luò)模式的可視性：v哪些用戶(hù)產(chǎn)生的流量最多？v哪些服務(wù)器接收的流量最多？v哪些會(huì)話(huà)產(chǎn)生了流量？v分別使用了哪些應(yīng)用？Net Stream技術(shù)介紹技術(shù)介紹 “流”概念Net Stream的流定義為：由源到目的方向的一系列單向的數(shù)據(jù)包。vNet Stream流是通過(guò)7元組來(lái)標(biāo)識(shí)的，即通過(guò)接口索引、源IP地址、目的IP地址、源端口號(hào)、目的端口號(hào)、協(xié)議號(hào)和ToS組成的七元組確定一個(gè)Net Stream流，設(shè)備根據(jù)七元組信息對(duì)過(guò)往的數(shù)據(jù)包進(jìn)行Ne

3、t Stream統(tǒng)計(jì)。分析下圖中四條流：上圖包括的四種數(shù)據(jù)流v 從Client A到WWW Server方向通信時(shí)產(chǎn)生的流； v 從WWW Server到Client A方向通信時(shí)產(chǎn)生的流；v 從Client B到FTP Server方向通信時(shí)產(chǎn)生的流；v 從FTP Server到Client B方向通信時(shí)產(chǎn)生的流；v從上例中可以很容易地理解，流是單向的，同時(shí)流也是基于協(xié)議的。v形象地說(shuō)，通過(guò)NetStream流可以記錄下來(lái)網(wǎng)絡(luò)中who、what、when、where、how。Net Stream技術(shù) 路由器路由器/交換機(jī)交換機(jī)統(tǒng)計(jì)數(shù)據(jù)統(tǒng)計(jì)數(shù)據(jù)路由器路由器/交換機(jī)交換機(jī)對(duì)對(duì)IP包統(tǒng)計(jì)分析包統(tǒng)計(jì)

4、分析網(wǎng)流采集器網(wǎng)流采集器網(wǎng)流分析器網(wǎng)流分析器數(shù)據(jù)庫(kù)數(shù)據(jù)庫(kù)進(jìn)一步分析處理進(jìn)一步分析處理vNet Stream技術(shù)可利用網(wǎng)絡(luò)中數(shù)據(jù)流創(chuàng)造價(jià)值，并可在最大限度減小對(duì)路由器/交換機(jī)性能影響的前提下提供詳細(xì)的數(shù)據(jù)流統(tǒng)計(jì)信息。NTA解決方案解決方案 vNetwork Traffic Analysis解決方案包括：v網(wǎng)流采樣設(shè)備（NTE）（Net Traffic Exporter）：采集和發(fā)送 v網(wǎng)流流采集設(shè)備N(xiāo)TC（Net Traffic Collector）：流量統(tǒng)計(jì) v數(shù)據(jù)分析處理設(shè)備N(xiāo)TP（Net Traffic Processor）：直觀的圖表、報(bào)表 Net Traffic Exporter：網(wǎng)流

5、采樣設(shè)備v提供Net Stream技術(shù)接口的網(wǎng)絡(luò)設(shè)備（路由器和交換機(jī)及的路由器），負(fù)責(zé)對(duì)設(shè)備各個(gè)端口進(jìn)出的網(wǎng)絡(luò)報(bào)文進(jìn)行流分類(lèi)統(tǒng)計(jì)，然后打包輸出。v作為支持NetStream的網(wǎng)絡(luò)設(shè)備，首先需要打開(kāi)網(wǎng)絡(luò)設(shè)備的偵聽(tīng)端口，然后配置將NetStream日志要發(fā)送到哪個(gè)IP的哪個(gè)端口（即NTC設(shè)備的監(jiān)聽(tīng)端口）。這樣，設(shè)備就會(huì)把NetStream日志以UDP包的形式發(fā)往NTC，而NTC則可從偵聽(tīng)端口源源不斷的接收NetStream日志。Net Traffic Collector：網(wǎng)流采集設(shè)備vNTC可以采集多個(gè)NTE設(shè)備輸出的數(shù)據(jù)，對(duì)數(shù)據(jù)進(jìn)行過(guò)濾和聚合，并將數(shù)據(jù)存儲(chǔ)在數(shù)據(jù)庫(kù)中供分析處理。vNetStrea

6、m日志被NTC設(shè)備采集到之后，將會(huì)做聚合處理，這樣可減少最終存入數(shù)據(jù)庫(kù)的的數(shù)據(jù)量，并提高了分析的效率；同時(shí)，NTC設(shè)備也會(huì)對(duì)存入數(shù)據(jù)庫(kù)的數(shù)據(jù)作進(jìn)一步的統(tǒng)計(jì)處理，以便快速產(chǎn)生各類(lèi)分析報(bào)表。Net Traffic Processor ：數(shù)據(jù)分析處理設(shè)備vNTP是一個(gè)網(wǎng)絡(luò)流量的分析工具，對(duì)采集來(lái)的流量數(shù)據(jù)進(jìn)行分析處理。為便于網(wǎng)絡(luò)管理人員的操作，采用基于Web形式訪(fǎng)問(wèn)，提供直觀的、圖形化的管理界面，所有數(shù)據(jù)輸出都以友好的形式直接在Web頁(yè)面中顯示。vNTP對(duì)NTC生成的所有數(shù)據(jù)進(jìn)行分析，對(duì)數(shù)據(jù)進(jìn)行二次聚合、統(tǒng)計(jì)分析，分析的結(jié)果以非常直觀的圖表、表格等形式展示給用戶(hù)，通過(guò)這些分析結(jié)果，用戶(hù)可以監(jiān)控網(wǎng)絡(luò)使

7、用狀況、應(yīng)用使用狀況、用戶(hù)網(wǎng)絡(luò)訪(fǎng)問(wèn)行為，并可監(jiān)控到流量異常狀況以便用戶(hù)進(jìn)一步做分析。報(bào)表功能 v用戶(hù)可根據(jù)統(tǒng)計(jì)分析的需求，自定義報(bào)表生成規(guī)則，由報(bào)表引擎生成報(bào)表，并將統(tǒng)計(jì)分析的結(jié)果以餅圖、曲線(xiàn)圖、統(tǒng)計(jì)信息表格等直觀的形態(tài)展示出來(lái)。v報(bào)表展示 v流量統(tǒng)計(jì)報(bào)表-給出一段時(shí)間內(nèi)入出流量的趨勢(shì)圖，以及按入出流量統(tǒng)計(jì)總流量、最大速率、最小速率、平均速率，并給出流量明細(xì)信息：v應(yīng)用統(tǒng)計(jì)報(bào)表-給出一段時(shí)間內(nèi)流入、流出的各種應(yīng)用以及趨勢(shì)圖。v應(yīng)用明細(xì)報(bào)表-給出應(yīng)用統(tǒng)計(jì)報(bào)表中某個(gè)應(yīng)用的明細(xì)信息，包含該應(yīng)用的趨勢(shì)、使用該應(yīng)用源節(jié)點(diǎn)以及目的節(jié)點(diǎn)應(yīng)用統(tǒng)計(jì)報(bào)表-給出一段時(shí)間內(nèi)流入、流出的各種應(yīng)用以及趨勢(shì)圖。 v來(lái)源統(tǒng)計(jì)

8、報(bào)表-給出一段時(shí)間內(nèi)，作為源IP的各個(gè)節(jié)點(diǎn)產(chǎn)生的流量的信息。以餅圖的形式展示，并給出產(chǎn)生流量最多的節(jié)點(diǎn)： v來(lái)源明細(xì)報(bào)表-給出來(lái)源統(tǒng)計(jì)報(bào)表中某個(gè)節(jié)點(diǎn)的明細(xì)信息。并給出與源節(jié)點(diǎn)通信的top目的節(jié)點(diǎn)以及與源節(jié)點(diǎn)通信的top應(yīng)用 v目的統(tǒng)計(jì)報(bào)表-給出一段時(shí)間內(nèi)，作為目的IP的各個(gè)節(jié)點(diǎn)接收的流量的統(tǒng)計(jì)信息。以餅圖的形式展示，并給出接收流量最多的節(jié)點(diǎn) v目的明細(xì)報(bào)表-給出目的統(tǒng)計(jì)報(bào)表中某個(gè)節(jié)點(diǎn)的明細(xì)信息。并給出與目的節(jié)點(diǎn)通信的top目的節(jié)點(diǎn)以及與目的點(diǎn)通信的top應(yīng)用 v會(huì)話(huà)統(tǒng)計(jì)報(bào)表-給出會(huì)話(huà)節(jié)點(diǎn)流量TOP分布圖，以及會(huì)話(huà)節(jié)點(diǎn)流量TOP列表 v會(huì)話(huà)明細(xì)報(bào)表給出會(huì)話(huà)統(tǒng)計(jì)報(bào)表中，某對(duì)IP之間在一段時(shí)間內(nèi)產(chǎn)生

9、的流量的趨勢(shì)，并給出這對(duì)IP之間通信所使用的應(yīng)用vDIG采集設(shè)備采集設(shè)備vDIG采集設(shè)備針對(duì)一些不支持Net Stream技術(shù)的網(wǎng)絡(luò)設(shè)備，有一種DIG采集設(shè)備，只要網(wǎng)絡(luò)設(shè)備支持端口鏡像，DIG采集設(shè)備能直接從鏡像端口收集網(wǎng)絡(luò)流量信息，并形成DIG日志提供給NTC/NTP進(jìn)行流量分析。vDIG采集設(shè)備DIG日志采集器所需要做的工作是把流經(jīng)設(shè)備端口的數(shù)據(jù)報(bào)文中，按照DIG日志的數(shù)據(jù)格式對(duì)數(shù)據(jù)報(bào)文進(jìn)行過(guò)濾和統(tǒng)計(jì)，最終形成DIG日志輸出。 DIG采集設(shè)備采集類(lèi)型v1、 從鏡像端口采集v對(duì)于支持鏡像端口的交換機(jī)、路由器設(shè)備，可以將鏡像端口直接同DIG日志探針組件的采集網(wǎng)卡相連，實(shí)現(xiàn)數(shù)據(jù)采集。此類(lèi)采集方式

10、，需要設(shè)置設(shè)備鏡像端口，保證鏡像端口和采集網(wǎng)卡的類(lèi)型匹配、帶寬匹配。DIG采集設(shè)備采集類(lèi)型v2、 分流器采集在設(shè)備不支持鏡像端口的情況下，為了不影響設(shè)備性能，比較專(zhuān)業(yè)的采集方案是采用分流器，從設(shè)備端口接收網(wǎng)絡(luò)數(shù)據(jù)報(bào)文。此方案通常應(yīng)用于光纖鏈路，價(jià)格高昂。 3、 共享式HUB采集v對(duì)于不支持端口鏡像的設(shè)備，且需要監(jiān)控的端口帶寬小于100M的情況下，可以使用共享式HUB實(shí)現(xiàn)對(duì)端口數(shù)據(jù)的采集。但這種方式很容易引起網(wǎng)絡(luò)單點(diǎn)故障，不推薦使用。NTA解決方案的典型組網(wǎng)解決方案的典型組網(wǎng)vNetStream日志可以開(kāi)啟在路由器中、匯聚層/核心層交換機(jī)中。NTA的應(yīng)用場(chǎng)景的應(yīng)用場(chǎng)景vNet Stream技術(shù)定

11、義了一種路由器/交換機(jī)向管理系統(tǒng)輸出流量數(shù)據(jù)的方法，通過(guò)采集和分析流量數(shù)據(jù)，并將流量數(shù)據(jù)與管理控制臺(tái)中的其他網(wǎng)絡(luò)和應(yīng)用性能指標(biāo)建立關(guān)系，對(duì)網(wǎng)絡(luò)運(yùn)行狀態(tài)進(jìn)行管理。vWho：誰(shuí)（IP）使用了網(wǎng)絡(luò)？vWhat：網(wǎng)絡(luò)流量的類(lèi)型是什么？vWhen：在什么時(shí)間使用網(wǎng)絡(luò)，使用了多長(zhǎng)時(shí)間？vWhere：網(wǎng)絡(luò)流量流向何處？v利用NTA網(wǎng)流分析系統(tǒng)對(duì)這些數(shù)據(jù)進(jìn)行統(tǒng)計(jì)分析，就能從中提取出網(wǎng)絡(luò)流量特征，從而為網(wǎng)絡(luò)管理員提供一張豐富而詳盡的網(wǎng)絡(luò)利用視圖。 網(wǎng)絡(luò)優(yōu)化 v通過(guò)NTA解決方案，可以使網(wǎng)絡(luò)管理員及時(shí)掌握網(wǎng)絡(luò)負(fù)載狀況，網(wǎng)內(nèi)應(yīng)用資源使用情況，盡早發(fā)現(xiàn)網(wǎng)絡(luò)結(jié)構(gòu)的不合理，或是網(wǎng)絡(luò)性能瓶頸，盡快作出網(wǎng)絡(luò)優(yōu)化方面的決斷，使

12、網(wǎng)絡(luò)帶寬分配最優(yōu)化，為用戶(hù)提供高品質(zhì)的網(wǎng)絡(luò)服務(wù)，并且避免了網(wǎng)絡(luò)帶寬和服務(wù)器瓶頸問(wèn)題。網(wǎng)絡(luò)優(yōu)化 網(wǎng)絡(luò)規(guī)劃參考 v利用NetStream流日志以及NTA長(zhǎng)期監(jiān)控網(wǎng)絡(luò)帶寬而形成的各類(lèi)趨勢(shì)報(bào)表，有助于網(wǎng)絡(luò)管理員跟蹤和預(yù)測(cè)網(wǎng)絡(luò)鏈路流量的增長(zhǎng)，從而能有效的規(guī)劃網(wǎng)絡(luò)升級(jí)（例如，增加路由服務(wù)、端口或使用更高帶寬的接口）。WAN流量監(jiān)測(cè) v對(duì)于一個(gè)企業(yè)來(lái)說(shuō)，WAN帶寬通常是有限的，如果WAN鏈路上的流量增大，通常企業(yè)的做法就是進(jìn)行投資以升級(jí)WAN鏈路v但是如果企業(yè)能掌握WAN流量的特征，制定相應(yīng)的策略（比如QoS和針對(duì)源或目的IP地址作流限制），就能使WAN帶寬得到最合理最充分的使用，避免進(jìn)行不必要的升級(jí)投資v

13、而NTA解決方案所提供的分析結(jié)果能夠使網(wǎng)絡(luò)管理員洞察WAN鏈路的流量特征、承載的應(yīng)用、用戶(hù)使用狀況，從而針對(duì)是否應(yīng)投資升級(jí)帶寬快速的作出快速響應(yīng)！網(wǎng)絡(luò)流量異常監(jiān)測(cè) v網(wǎng)絡(luò)管理員都希望在網(wǎng)絡(luò)性能突然下降的時(shí)候找到“真兇”所在，并迅速解決問(wèn)題。利用NTA解決方案提供的某段時(shí)間內(nèi)的流量、應(yīng)用趨勢(shì)分析，可非常直觀的看到網(wǎng)絡(luò)流量是否有突然增長(zhǎng)或突然下降的現(xiàn)象，并進(jìn)一步分析出是哪些用戶(hù)產(chǎn)生了最多的流量、使用了哪些應(yīng)用以至于網(wǎng)絡(luò)運(yùn)轉(zhuǎn)出現(xiàn)性能問(wèn)題。 常見(jiàn)的流量監(jiān)制軟件vSniffer，中文可以翻譯為嗅探器，是一種基于被動(dòng)偵聽(tīng)原，中文可以翻譯為嗅探器，是一種基于被動(dòng)偵聽(tīng)原理的網(wǎng)絡(luò)分析方式。使用這種技術(shù)方式，可以

14、監(jiān)視網(wǎng)絡(luò)的理的網(wǎng)絡(luò)分析方式。使用這種技術(shù)方式，可以監(jiān)視網(wǎng)絡(luò)的狀態(tài)、數(shù)據(jù)流動(dòng)情況以及網(wǎng)絡(luò)上傳輸?shù)男畔?。狀態(tài)、數(shù)據(jù)流動(dòng)情況以及網(wǎng)絡(luò)上傳輸?shù)男畔?。v當(dāng)信息以明文的形式在網(wǎng)絡(luò)上傳輸時(shí)，便可以使用網(wǎng)絡(luò)監(jiān)當(dāng)信息以明文的形式在網(wǎng)絡(luò)上傳輸時(shí)，便可以使用網(wǎng)絡(luò)監(jiān)聽(tīng)的方式來(lái)進(jìn)行攻擊。將網(wǎng)絡(luò)接口設(shè)置在監(jiān)聽(tīng)模式，便可聽(tīng)的方式來(lái)進(jìn)行攻擊。將網(wǎng)絡(luò)接口設(shè)置在監(jiān)聽(tīng)模式，便可以將網(wǎng)上傳輸?shù)脑丛床粩嗟男畔⒔孬@。以將網(wǎng)上傳輸?shù)脑丛床粩嗟男畔⒔孬@。Sniffer技術(shù)常常被技術(shù)常常被黑客們用來(lái)截獲用戶(hù)的口令，據(jù)說(shuō)某個(gè)骨干網(wǎng)絡(luò)的路由器黑客們用來(lái)截獲用戶(hù)的口令，據(jù)說(shuō)某個(gè)骨干網(wǎng)絡(luò)的路由器網(wǎng)段曾經(jīng)被黑客攻入，并嗅探到大量的用戶(hù)口令。但實(shí)際網(wǎng)段曾

15、經(jīng)被黑客攻入，并嗅探到大量的用戶(hù)口令。但實(shí)際上上Sniffer技術(shù)被廣泛地應(yīng)用于網(wǎng)絡(luò)故障診斷、協(xié)議分析、技術(shù)被廣泛地應(yīng)用于網(wǎng)絡(luò)故障診斷、協(xié)議分析、應(yīng)用性能分析和網(wǎng)絡(luò)安全保障等各個(gè)領(lǐng)域。應(yīng)用性能分析和網(wǎng)絡(luò)安全保障等各個(gè)領(lǐng)域。 第三只眼員工工作時(shí)間，都認(rèn)真工作了？還是在玩游戲？瀏覽與工作無(wú)關(guān)的網(wǎng)站？收發(fā)私人郵件？甚至將公司的機(jī)密資料拷貝帶走？或是通過(guò)郵件或聊天工具泄密？解決之道統(tǒng)計(jì)員工工作效率對(duì)員工的所使用的程序的頻率進(jìn)行統(tǒng)計(jì)，從上圖可看出9月份該員工QQ使用的頻率最高、說(shuō)明聊天最多。及時(shí)報(bào)警對(duì)員工的某些操作進(jìn)行及時(shí)報(bào)警，員工插入移動(dòng)存儲(chǔ)設(shè)備或者拷貝文件帶走時(shí)、或者其他自定義的限制操作進(jìn)行的時(shí)候、

16、都會(huì)向管理者報(bào)警。自動(dòng)搜索員工局域網(wǎng)自動(dòng)搜索員工，并將自動(dòng)與員工網(wǎng)卡綁定，即使員工更改ip或者更換操作系統(tǒng)重新登陸，更或者重新安裝系統(tǒng)，都可以第一時(shí)間辨別。歷史紀(jì)錄-屏幕紀(jì)錄可對(duì)員工的所有的操作進(jìn)行屏幕截圖并保存,管理者可以查看過(guò)去任意時(shí)間段員工計(jì)算機(jī)的屏幕狀況,追溯歷史操作歷史紀(jì)錄-郵件紀(jì)錄收發(fā)郵件紀(jì)錄，可以記錄收發(fā)郵件的詳細(xì)的內(nèi)容及附件等 歷史紀(jì)錄-網(wǎng)頁(yè)瀏覽網(wǎng)頁(yè)瀏覽紀(jì)錄，可記錄員工瀏覽過(guò)的網(wǎng)站歷史紀(jì)錄-Web郵件郵件記錄 (web郵件) 歷史紀(jì)錄-外發(fā)紀(jì)錄可記錄計(jì)算機(jī)外發(fā)信息的紀(jì)錄(包括web郵件)，包括正文內(nèi)容，附件等。 歷史紀(jì)錄-Ftp紀(jì)錄ftp紀(jì)錄，可監(jiān)控通過(guò)ftp上傳或者下載的紀(jì)錄 歷史紀(jì)錄-文件操作紀(jì)錄可監(jiān)控員工計(jì)算機(jī)的所有的文件或者文件夾的復(fù)制，剪切，刪除，重命名等操作可監(jiān)控員工計(jì)算機(jī)的所有的文件或者文件夾的復(fù)制，剪切，刪除，重命名等操作 歷史紀(jì)錄-聊天紀(jì)錄聊天紀(jì)錄：聊天紀(jì)錄：QQQQ聊天紀(jì)錄聊天紀(jì)錄 歷史紀(jì)錄-聊天紀(jì)錄聊天紀(jì)錄：貿(mào)易通聊天紀(jì)錄：貿(mào)易通 聊天紀(jì)錄聊天紀(jì)錄 實(shí)時(shí)監(jiān)控可對(duì)員工的當(dāng)前狀況進(jìn)行實(shí)時(shí)的監(jiān)控可對(duì)員工的當(dāng)前狀況進(jìn)行實(shí)時(shí)的監(jiān)控多畫(huà)面實(shí)時(shí)監(jiān)控多畫(huà)面實(shí)時(shí)監(jiān)控，可同時(shí)監(jiān)控多個(gè)員工的當(dāng)前的計(jì)算機(jī)屏幕多畫(huà)面實(shí)時(shí)監(jiān)控，可同時(shí)監(jiān)控多個(gè)員工的當(dāng)前的計(jì)算機(jī)屏幕硬件管理列