NetFlow(网络流量分析)

基于流的统计: 以流为单位聚合流量,而非逐包抓取,资源开销小。
导出机制: 设备定期把流记录通过 UDP 发送到专门的 NetFlow 收集器进行存储和展示。
版本演进: 常见版本有 v5 和更灵活的 v9,后者启发了 IETF 标准化的 IPFIX 协议。
广泛兼容: 虽由思科提出,但其他厂商也提供类似技术,如 sFlow 和 J-Flow。

NetFlow 是由思科(Cisco)公司开发的一种网络流量采集与分析技术,用于统计和记录通过网络设备的 IP 流量信息。它把经过路由器或交换机的数据包按照特征归类为一条条流(Flow),并将这些流记录导出到收集器,供管理员分析带宽占用、排查故障和进行安全审计。

概述

NetFlow 不会保存数据包的全部内容,而是提取关键的元数据。所谓一条流,通常由源 IP、目的 IP、源端口、目的端口和协议号等要素共同定义,拥有相同要素的一系列数据包被聚合为同一条流并累计字节数、包数和时间信息。这种做法既能反映流量全貌,又大幅降低了存储和分析成本。

NetFlow 常用于网络带宽使用分析,帮助定位是哪些主机或应用消耗了大量流量;在安全领域,它可用于检测 DDoS 攻击、扫描行为和异常外联,是网络流量可视化和态势感知的重要数据来源;运营商和大型企业还用它进行容量规划和计费依据。

问:NetFlow 会记录数据包的内容吗?答:不会。NetFlow 只采集流的元数据,如地址、端口、协议和流量大小,并不保存报文正文,因此对隐私影响相对较小。

问:NetFlow 和 IPFIX 是什么关系?答:IPFIX 是 IETF 在 NetFlow v9 基础上制定的标准化协议,可以看作 NetFlow 的开放标准版本,两者理念一致。