【IT168 专稿】Sniffer等网络协议分析类工具与Netflow、SNMP等流量系统之间，到底有何区别呢？其应用的作用如何呢？

　　网络流量需要监控

　　进行流量监控和流量分析是整个网络合理化的重要环节，它能在最短的时间内发现安全威胁，在第一时间进行分析，通过流量分析来确定攻击，然后发出预警，快速采取措施。

　　连接性 也称可用性、连通性或者可达性，严格说应该是网络的基本能力或属性。Internet的出现以及采用新技术而带来的生产力提高，导致对更高带宽和服务的需求。

　　企业需要更高带宽的定制服务；而消费者则需要像宽带连接和视频点播等服务；运营商必须在他们的目标市场需求与他们业务的现实之间取得平衡；这些都必须以网络的连接性能为基础和保障。

　　时延 定义了一个IP包穿越一个或多个网段所经历的时间。时延由固定时延和可变时延两部分组成。固定时延基本不变，由传播时延和传输时延构成；可变时延由中间路由器处理时延和排队等待时延两部分构成。

　　丢包率 是指丢失的IP包与所有的IP包的比值。许多因素会导致数据包在网络上传输时被丢弃，例如数据包的大小以及数据发送时链路的拥塞状况等。不同业务对丢包的敏感性不同，在多媒体业务中，丢包是导致图像质量降低和断帧的根本原因。

　　带宽 一般分为瓶颈带宽和可用带宽。瓶颈带宽是指当一条路径（通路）中没有其它背景流量时，网络能够提供的最大的吞吐量。可用带宽是指在网络路径（通路）存在背景流量的情况下，能够提供给某个业务的最大吞吐量。

　　在复杂的网络系统上面，不同的应用占用不同的带宽，重要的应用是否得到了非常好的的带宽？它占的比例是多少？队列设置和网络优化是否生效？通过例如MRTG等网络流量分析会使其更加明确，并以图形HTML文档方式显示给用户，以非常直观的形式显示流量负载。

　　协议分析 对网络流量进行协议划分，如：Web浏览（HTTP）、电子邮件（POP3、SMTP、WEB MAIL）、文件下载（FTP）、即时聊天（MSN、QQ等）、流媒体（MMS、RTSP）等。针对不同的网络应用协议进行流量监控和分析，如果某一个协议在一个时间段内出现超常占用可用带宽的情况，就有可能是攻击流量或蠕虫病毒出现。

　　业务网段流量分析 大多数组织，都是将不同的业务系统通过VLAN来进行逻辑隔离的，所以可以通过流量分析系统针对不同VLAN来进行网络流量监控。
 

　　主动分析避免异常流量

　　面对异常流量，我们应当建立一套分析系统，支持异常流量发现和报警，能够通过对一个时间段内历史数据的自动学习，获取包括总体网络流量水平、流量波动、流量跳变等在内的多种网络流量测度，并自动建立当前流量的置信度区间作为流量异常监测的基础。

　　如果自行建立主动型的网络分析系统一般包括：测量节点、中心服务器、数据库和分析服务器。但对于中小企业来说难度较大。主动分析是借助产品化和集成程度较高的测量工具，有目的对生产网络注入监控点，并根据测量数据流的传送情况来分析网络的性能。虽然这些监控点也会占用带宽，但和P2P下载所占用的可用带宽相比是微不足道的。

　　在排除病毒和封锁P2P之后，一般带宽占用前两名的应用是基于网站页面的在线音频与在线视频。为了节约带宽，我们应该在工作时间段对其进行限制和封锁。随着网络本身的性能增强，流量分析相关理论、测量方法、和各种测量工具的不断出现，人们对网络的认识也会越来越深刻，从而不断地推动网络技术向前发展。

　　协议分析重在诊断，不在管理

　　我们现在讲的网络流量分析，主要是通过网络协议分析，来监测网络流量。Sniffer、Tcpdump等网络协议分析工具，主要是通过抓数据包分析数据协议，去分析网络流量。

　　通过Sniffer、Tcpdump等协议分析工具，对数据包的解码分析，可以很快的定位网络故障，确认网络带宽的瓶颈，在故障发生前及时消除网络隐患，这样能给我们日常的维护工作带来很大的方便，也使得我们的维护工作处于主动地位，不会再只有接到用户故障投诉后才能处理故障，在时间和效率上都不能很好的让用户满意。

　　不过，Sniffer、Tcpdump主要是指出异常流量的问题，但不能直接解决问题。就如同医生只看病，不下药一样。而基于Netflow等而发展起来的网络流量系统，则可以控制网络流量，并在相当程度去解决问题。在下期的专题中，我们将重点分析网络流量管理系统。