目錄

8.1  介紹

定義

目的

8.2  參考標準和協議

8.3  可獲得性

License支援

版本支援

特性依賴

8.4  原理描述

8.4.1  sFlow Agent的基本原理

8.5  應用

8.5.1  sFlow典型應用

8.6  術語與縮略語

術語

縮略語

8.1  介紹

定義

sFlow是Sampled Flow的簡稱，由Inmon提出，是一種用於監控資料網路上交換機或者路由器流量轉發狀況的技術。

sFlow系統包括若干sFlow Agent（內嵌於交換機或者路由器等轉發裝置）以及一個核心的sFlow Collector。sFlow Agent通過特定的取樣技術獲取網路裝置上的流量轉發統計並實時地通過sFlow資料報文傳送到Collector以供Collector進行分析，通過生成流量檢視或者報表的形式，幫助網路管理員更加有效地管理整個站點（通常是企業級站點）的網路流量。

目的

相對於電信級網路，企業級網路通常具有規模相對較小、組網靈活、易受攻擊等特點，因此企業級網路更容易出現由組網或者攻擊導致的流量業務異常，因此企業使用者更需要一種以裝置埠為基本取樣單元的流量監控技術來實時監控流量狀況以及及時發現異常流量以及攻擊流量的源頭，從而保證企業網路的正常穩定執行。

一個典型的sFlow系統提供了一組Agent以及一個Collector，Agent內嵌於網路裝置，負責採集相關的流量統計資訊；Collector的角色通常由專門的伺服器充當，通過在伺服器上執行sFlow trend等專門的sFlow Collector軟體，收集Agent傳送過來的統計資料，以圖形化的統計資訊彙總或者以報表的形式輸出。為企業使用者特別是不設定專職網路管理員的企業使用者的日常巡檢維護提供了極大的方便。

8.2  參考標準和協議

本特性的參考資料清單如下：

8.3  可獲得性

License支援

無需獲得License許可，均可獲得該特性的服務。

版本支援

表8-1  sFlow特性的版本支援

特性依賴

sFlow特性與其他特性的依賴關係如下：

• 依賴於IP協議棧以及單播路由轉發特性。
• 如果Collector軟體需要使用sFlow Trend（Inmon提供的標準Collector軟體），裝置必須支援SNMP V2或者SNMP V3。並且SNMP Agent功能以及公有MIB的讀寫功能必須開啟。

8.4  原理描述

8.4.1  sFlow Agent的基本原理

sFlow Agent是sFlow的客戶端裝置，在一個典型的部署sFlow的網路中，一般是內嵌於網路轉發裝置中（比如交換機和路由器），負責收集裝置上的流量轉發情況並實時傳送給sFlow Collector以供分析使用。

sFlow的取樣報文格式

sFlow報文采用UDP封裝，預設目的埠號為知名埠6343。sFlow報文共有4種報文頭格式，分別為Flow sample、Expanded Flow sample、Counter sample、Expanded Counter sample。其中Expanded Flow sample和Expanded Counter sample是sFlow version5新增內容，是Flow sample和Counter sample的擴充套件，但不前向相容。所有的Extended的取樣內容必須使用Expanded取樣報文頭封裝。sFlow的報文格式如圖8-1。

圖8-1  sFlow報文格式 

sFlow的兩種取樣

sFlow Agent提供了兩種取樣方式供使用者從不同的角度分析網路流量狀況，分別為Flow取樣以及Counter取樣。

Flow取樣

Flow取樣是sFlow Agent裝置在指定埠上按照特定的取樣方向和取樣比對報文進行取樣分析，並將分析的結果通過sFlow報文傳送到Collector裝置的過程。Flow取樣報文中的主要資訊如表8-2所示。

表8-2  Flow取樣報文中主要欄位資訊說明

Flow取樣是針對介面上報文的取樣方式，報文的取樣主要由兩種方式：固定取樣方式和隨機取樣方式。固定取樣方式是在裝置上啟用一個計數器，取樣比為1/N時，初時計數器值為N ，介面每處理一個報文計數，記數器計數減一，當計數器減到0時，取樣當前的報文，重置計數器的計數為N，重複前面的處理；隨機取樣方式是指標對每一個介面處理的報文給一個隨機值（假定隨機數的取值範圍為0～N），設定一個閾值n（n ∈ [0,N]），當報文的隨機值小於這個閾值時，報文采樣，這樣實際的取樣比為n/(N+1)。從統計角度來說，隨機取樣方式採集的樣本更加能夠體現整個樣本空間的情況，因此目前主要採用的取樣方式為隨機取樣方式。

 說明：

目前交換機支援Raw packet、Ethernet Frame Data、IPV4 Data、IPV6 Data、Extended Switch Data、Extended Router Data的6種欄位。

Counter取樣

Counter取樣是sFlow Agent裝置週期性的獲取介面上的流量統計，並將這些統計資訊通過sFlow報文傳送給Collector裝置的過程。Counter取樣報文中的主要資訊如表8-3所示。

表8-3  Counter取樣報文中主要欄位資訊說明

 說明：

目前交換機支援Generic Interface Counters、Ethernet Interface Counters和Processor Information的3種欄位。

8.5  應用

8.5.1  sFlow典型應用

如圖1-1所示，sFlow系統包含一個嵌入在裝置中的sFlow Agent和遠端的sFlow Collector。其中，sFlow Agent用於獲取本裝置上的介面統計資訊和資料資訊，將資訊封裝成sFlow報文，當sFlow報文緩衝區滿或是在sFlow報文快取時間（快取時間為1秒）超時後，sFlow Agent會將sFlow報文傳送到指定的sFlow Collector。sFlow Collector對sFlow報文進行分析，並顯示分析結果。

圖8-2  sFlow系統示意圖 

8.6  術語與縮略語

術語

縮略語

原文連結：http://support.huawei.com/enterprise/docinforeader!loadDocument.action?contentId=DOC0000702578&partNo=10012#dc_s_feature_106119