數(shù)據(jù)中心里各種設(shè)備是固定死的，但數(shù)據(jù)是流動的，形成了各種各樣四通八達(dá)的流量。對數(shù)據(jù)中心流量進(jìn)行監(jiān)控對于業(yè)務(wù)評估、故障分析、日常運(yùn)維、擴(kuò)容等都非常有用，要用好這些數(shù)據(jù)流量。現(xiàn)在總被提及的大數(shù)據(jù)、云計(jì)算，就是充分利用數(shù)據(jù)進(jìn)行商業(yè)用途的應(yīng)用。所以，數(shù)據(jù)流量對于數(shù)據(jù)中心非常重要，如何管理好它，并用好它，需要有正確的方法。本文就來說一說數(shù)據(jù)中心流量監(jiān)控的幾種主流方法，通過利用這些方法可以很好地掌握整個數(shù)據(jù)中心的流量走向和特征。

SFLOW

SFLOW采用數(shù)據(jù)流隨機(jī)采樣技術(shù)，可提供完成的第二層到第四層的流量信息，讓用戶詳細(xì)、實(shí)時地分析網(wǎng)絡(luò)傳輸流的性能、趨勢和存在的問題。SFLOW通過設(shè)定的采樣比采集端口數(shù)據(jù)，采樣比越大，收集的數(shù)據(jù)量越少，采樣比越小，收集的數(shù)據(jù)量越多越詳細(xì)。當(dāng)然，如果采樣比設(shè)置過小，大量SFLOW報(bào)文會沖擊網(wǎng)絡(luò)設(shè)備的CPU，很多設(shè)備都會扛不住，所以要根據(jù)端口數(shù)量設(shè)置合理的采樣比，一般推薦大于10000:1，即端口上每一萬個報(bào)文里采樣一個報(bào)文，發(fā)向SFLOW的監(jiān)控設(shè)備，這樣的采樣比是比較安全的數(shù)值。SFLOW的缺點(diǎn)也是很明顯的，采集的流量在端口流量比較小的情況下，反映網(wǎng)絡(luò)狀況不是很準(zhǔn)確，尤其是在端口各種流量比較豐富的情況下，就可能會漏掉部分流量。比如端口受到ARP報(bào)文攻擊，如果這時端口其它轉(zhuǎn)發(fā)流量也比較大，通過SFLOW的監(jiān)控就很難發(fā)現(xiàn)這類攻擊，和普通流量相比，ARP攻擊報(bào)文的數(shù)量還是太少，通過萬分之一的采樣比很難捕捉到這類攻擊的異常網(wǎng)絡(luò)情況。SFLOW的好處是可以看到網(wǎng)絡(luò)設(shè)備各個端口上出入方向流量的具體報(bào)文內(nèi)容，這個報(bào)文對于網(wǎng)絡(luò)分析非常重要。

SNMP

SNMP是使用最廣泛、最古老的一種網(wǎng)絡(luò)監(jiān)控技術(shù)，SNMP設(shè)計(jì)了一些公用節(jié)點(diǎn)，管理軟件或者網(wǎng)絡(luò)管理設(shè)備可以通過這些公用節(jié)點(diǎn)，訪問網(wǎng)絡(luò)設(shè)備，從而獲取網(wǎng)絡(luò)設(shè)備各個端口上的流量信息，實(shí)施監(jiān)控。當(dāng)發(fā)現(xiàn)端口錯誤報(bào)文比較多，或者流量比較大的時候可以給出自動告警。SNMP需要網(wǎng)絡(luò)設(shè)備支持端口流量節(jié)點(diǎn)的處理，當(dāng)SNMP網(wǎng)管向設(shè)備發(fā)出端口流量請求時，設(shè)備可以很快地將端口流量信息發(fā)給網(wǎng)管。SNMP可以掌握網(wǎng)絡(luò)設(shè)備所有端口的流量大小和主要特征（比如是單播、多播還是廣播），但對報(bào)文內(nèi)容無法獲知。還有對于端口數(shù)量比較多的高端網(wǎng)絡(luò)設(shè)備，SNMP輪詢一次設(shè)備上的所有端口就要花費(fèi)幾十秒的時間，如果每次輪詢的時間都設(shè)置得很小，網(wǎng)絡(luò)設(shè)備就會一直在處理SNMP的請求，設(shè)備性能會受到很大影響。設(shè)置過大，流量的實(shí)時性又得不到保證。一般SNMP會設(shè)置獲取流量的時間間隔在三分鐘或者五分鐘，絕大多數(shù)的網(wǎng)絡(luò)設(shè)備都能承受得?。ìF(xiàn)在網(wǎng)絡(luò)設(shè)備都支持虛擬化，有的支持四框，有的甚至支持10框，這樣一個虛擬化設(shè)備擁有的端口數(shù)量輕松上千，這給SNMP帶來不小的挑戰(zhàn)，需要網(wǎng)絡(luò)設(shè)備的CPU處理能力很強(qiáng)才行）。

Netstream

Netstream可以提供報(bào)文統(tǒng)計(jì)功能，可以對網(wǎng)絡(luò)設(shè)備每個端口上出入方向的報(bào)文流量進(jìn)行統(tǒng)計(jì)，區(qū)分源和目的IP地址、源和目的端口號、協(xié)議號等。根據(jù)設(shè)定的老化時間，對一定時間內(nèi)的流量進(jìn)行統(tǒng)計(jì)。 通過Netstream可以看到老化時間周期內(nèi)，端口上的所有流量的特征，這對于分析問題特別有用。Netstream收集的流量可以在網(wǎng)絡(luò)設(shè)備上直接顯示，也可以發(fā)向流量采集裝置，把統(tǒng)計(jì)數(shù)據(jù)收集到數(shù)據(jù)庫中，以便對數(shù)據(jù)進(jìn)行進(jìn)一步的過濾和聚合。不過，Netstream也無法看到流量報(bào)文的全貌，只具有流量統(tǒng)計(jì)的功能，可以很快掌握網(wǎng)絡(luò)中都有哪些類型、哪些地址的訪問流量，但是并不知道這些報(bào)文更詳細(xì)的內(nèi)容。并不是所有的網(wǎng)絡(luò)設(shè)備都能支持Netstream，Netstream對網(wǎng)絡(luò)設(shè)備性能要求較高，一般只有在高端網(wǎng)絡(luò)設(shè)備上才實(shí)現(xiàn)，需要轉(zhuǎn)發(fā)芯片支持才可以，同時還要求CPU的處理能力較強(qiáng)，如果老化的時間設(shè)置得比較長，需要CPU能夠處理大量的Netstream報(bào)文統(tǒng)計(jì)。市面上還有單獨(dú)的專門做Netstream的網(wǎng)絡(luò)設(shè)備，這類設(shè)備只做流量分析一件事，這樣設(shè)備的Netstream處理能力最強(qiáng)。

Mirror

Mirror鏡像是一種應(yīng)用非常廣泛的流量監(jiān)控功能，包括端口鏡像、流鏡像、遠(yuǎn)程鏡像、基于VLAN的鏡像等，鏡像不僅可以看到具體的流量內(nèi)容，還可以根據(jù)自己需要對特定流量進(jìn)行鏡像。不過鏡像流量本身要占用網(wǎng)絡(luò)設(shè)備內(nèi)部的帶寬，如果鏡像的端口數(shù)量過多，會導(dǎo)致鏡像流量占用過多的網(wǎng)絡(luò)設(shè)備內(nèi)部帶寬，造成業(yè)務(wù)異常，所以鏡像功能雖好，但不要使用過度。Mirror會濾去物理層錯誤，影響某些類型的分析，同時還可能改變數(shù)據(jù)報(bào)文交互時序變更響應(yīng)時間，鏡像數(shù)據(jù)的優(yōu)先級也比正常端口之間的數(shù)據(jù)優(yōu)先級低。有些數(shù)據(jù)中心業(yè)務(wù)非常重要，為了消除鏡像帶來的影響，避免鏡像流量的不準(zhǔn)確，往往可以在原有網(wǎng)絡(luò)基礎(chǔ)上再增加一套監(jiān)控網(wǎng)絡(luò)設(shè)備，這個監(jiān)控設(shè)備專門做鏡像流量的轉(zhuǎn)發(fā)，就可以解決鏡像流量過大的問題，也避免暴露了鏡像技術(shù)的缺陷。

經(jīng)過以上介紹，相信大家對數(shù)據(jù)中心流量監(jiān)控的方法已經(jīng)掌握，這幾種方法各有各的特點(diǎn)，也各自有使用上的缺陷，適用于不同的數(shù)據(jù)中心用戶。這幾種方法均在數(shù)據(jù)中心中有廣泛應(yīng)用，這幾種方法不是互斥的，在同一個數(shù)據(jù)中心里可以同時部署多個流量監(jiān)控方法，幾種方法可以共用。掌握好這些流量監(jiān)控方法，對于數(shù)據(jù)中心開展各項(xiàng)運(yùn)維工作和故障事后分析都非常有幫助，充分利用這些流量監(jiān)控技術(shù)，可大幅提升數(shù)據(jù)中心的運(yùn)營效率。

如果您在企業(yè)IT、網(wǎng)絡(luò)、通信行業(yè)的某一領(lǐng)域工作，并想把自己的想法或觀點(diǎn)分享出來，歡迎給企業(yè)網(wǎng)D1Net投稿，投稿郵箱：editor@d1net.com