IP网络监测与分析系统框架设计

! 框架设计 "#$ !"
Q>C 在 I)4,8+J 标 准 支 持 下 " 同 步 完 成 记 帐 业 务 ! 在
这种操作模式下 " 传送的总的数据量可以被统计下来 !
电脑知识与技术
网络通讯
电脑知识与技术
’!( 数据分 析 模 块 利 用 )*+,) 协 议 ! 根 据 不 同 的 具
体需求采取不 同 的 取 样 算 法 ! 对 数 据 包 进 行 过 滤 和 抽 取以进行分析 处 理 " 这 样 就 可 以 根 据 实 际 的 需 要 来 进 行选择 ! 以减少传输和分析处理的数据量 "
I)4,8+J 及 其 它 网 管 标 准 不 同 的 是 " 该 框 架 采 取 了 "DEF" 标准及技术 " 在不降低监测与分析效果的情况
下 " 尽量减少检测数据量 ! 整个框架从总体看" 可分为网络流量数据准 " 如果网络操作人员想以附加的非 关 键 域 来
控’ %@& 在 ’( 传输链路中串入或并入流量分析设备来 获得流量信息 " 通 过 上 述 监 测 机 制 可 以 获 得 网 络 的 状 态 信 息 !以 便在感知到 网 络 阻 塞 发 生 或 将 要 发 生 时 能 够 实 时 地 改 变网络路由 " 但在这种方式下 ! 大流量的数据采集会消 耗设备的 A(B 和存储资源 " 另外 ! 如果采用抽样技术 ! 则相对观测 粒 度 较 粗 ! 而 且 还 需 要 在 网 络 设 备 中 或 在 网络中添加 专 用 的 高 速 接 口 的 流 量 监 测 设 备 数 据 采 集 设备 ! 增加了系统的成本投入 "
!""#$%&
##
电脑知识与技术
网络通讯
!" 流量信息 ! 使用模板的方便之处在于网管和厂商不必
为了用户能够 查 看 流 量 统 计 信 息 " 而 每 次 都 要 更 换 软 件! 为了 完 整 地 输 出 数 据 " 路 由 器 一 般 以 七 个 关 键 域 来表示每股网络流量 #$% # 源 !" 地址 $ 目的地 !" 地址 $ 源 端 口 $ 目 的 端 口 $ 三 层 协 议 类 型 $ 服 务 类 型 %&’()*+,*
/0102345 67 %# 809:63; *3277<4 )6=<963<=> 2=? (=2@A1<1 6’7 87’ 98:;+& "<+)=+>:7(’>+. ?:><&’>+. ?:+><:) $0 @%..:*: 8:;+& A+’2:&* BCDEEF1 (B193249C !" &:(G%)H ()+II’> =%&’(%)’&* +&, +&+./0’0 +): J:>%=’&* <%( ’& (<: +):+ %I &:(G%)H =+&+*’&*K -I(:) (<: +&+./0’0 %I (<: 0(+(70 +&, 0<%)(+*: %I L):0:&( 0/0(:=M + ()+II’> =%&’(%)’&* +&, +&+./0’0 0/0(:= I)+=:G%)H %I !" &:(G%)H G+0 %II:):, J+0:, %& !"2!3 +&, "4-$" L)%(%>%.0K -&,M (<: +LL.’>+(’%& %I (<: I)+=:G%)H ’& (<: ,’0()’J7(:, ’&()70’%& ,:(:>(’%& 0/0(:= G+0 +&+./N:,M ’&>.7,’&* (<: +>(7+.’N: ,:(+’.K D0A E63?1C !" 5%4O !" &:(G%)HO !"2!3 L)%(%>%.O "4-$" L)%(%>%.O !" ()+II’>
" #$%& 与 #’()# 标准
’(C’D:%< %’( C-1> ’E215F,/.1E ?GH15/ !’( 流动信息输
出 & 是 ’?IC 的 技 术 人 员 !""; 年 才 制 订 的 一 项 规 范 ! 使 得网络中流 量 统 计 信 息 的 格 式 趋 于 标 准 化 " 该 协 议 工 作于任何厂 商 的 路 由 器 和 管 理 系 统 平 台 之 上 ! 并 用 于 输出基于路由器的流量统计信息 "
’(C’D 定义的格式为 A.871 的 =4/C-1> J458.1E K 数
据输出格式作为基础 ! 可使 ’( 流量信息从一个输出器 % 路由器或交换机 & 传送到另一个收集器 " 因为 ’(C’D 具 有很强的可 扩 展 性 ! 因 此 网 络 管 理 员 们 可 以 自 由 地 添 加 或 更 改 域 % 特 定 的 参 数 和 协 议 &! 以 便 更 方 便 地 监 控
-)./01) & 字节 $ 输入逻辑接口 ! 如果不同的包中所有的七
个关键域都匹 配 " 那 么 所 有 这 些 包 都 将 被 视 为 属 于 同 一股流量 ! 此外 " 一些系统中还有为了网络统计进行跟 踪而附加的非关键域 " 包括源 !" 掩码 $ 目的地 !" 掩码 $ 源 地 址 自 治 系 统 %234+5+6+3- -’-4)6&$ 目 的 地 自 治 系 统 $&7" ,829 $ 目 的 地 接 口 以 及 !" 5):4*;+( 等 ! 按 照
?>@ 通过路由器 A 交换机及缓存采集并储存 !" 流 数
据包流量统计信息 ’
?BC 路由器 A 交换机将具体的域 $ 域长度等 !" 流 相 关
信息的格式传输到采集器 ’
?$C 采 集 器 接 收 并 合 计 网 络 统 计 数 据 " 并 将 统 计 数
据转发给相应兼容软件及设备并显示 !
"DEF"$I)4,8+J 等 C " 最 终 由 网 络 流 量 数 据 采 集 服 务 器
描述包 " 那么 基 于 模 板 的 格 式 会 在 输 出 包 的 报 头 之 后 插入一个新域 " 并新增新的模板记录 ! 基于 !"<!= 标准的网络流程如图 > 所示 #
图 & "# 网络监测与分析系统逻辑结构图
%&’ 网络流量数据采集
图 ! 基于 "#$"% 的网络流程图 为适应不断发展的高速网络应用" 框架中采用了 分 布 式 网 络 流 量 数 据 采 集 方 案 "!" 流 数 据 可 从 不 同 的 设备以不同的方法来获取 ! 如图 B 所示 " 利用路由器 A 交 换机的数据流量采集功能或 是 从 其 他 !"<!=A"DEF" 数 据采集设 备 " 也 可 直 接 从 网 络 接 口 卡 等 网 络 数 据 包 摄 入设备来得到网络数据 " 然后再以不 同 的 标 准 ?!"<!= $
"DEF"#B%?(21G)4 -26(8059"!" 数 据 包 采 样 C 是 !H&<
的 "DEF" 小组所制订的一项标准 " 它规定了对 !" 数据 包选择的采样 和 过 滤 方 法 ! 虽 然 目 前 存 在 专 门 的 数 据 包捕获设备 " 但 其 硬 件 成 本 和 排 它 性 的 实 施 方 法 阻 碍 了它的进 一 步 发 展 ! 而 "DEF" 标 准 的 推 出 " 使 得 这 一 过程完全可以在数据通过路由的同时完成 ! 重要的是 " 在不同的应用 环 境 和 不 同 情 况 下 " 在 这 一 标 准 的 基 础 上灵活地采用不同的采样或过滤算法实现包的捕获" 从而提高应用系统的灵活性和鲁棒性 ! 根据定义 " 其包 捕获方法主要有基 于 内 容 的 采 样 $ 均 衡 的 伪 随 机 采 样 $ 根据哈希函数的采样等 !
整个框架的系统系统逻辑结构如图 B 所示! 采用 不同的检测方法 " 通过分布式监测 方 式 对 通 过 高 速 !" 网络的数 据 包 进 行 统 计 和 分 析 ! 采 集 服 务 器 搜 集 的 数 据包及统 计 数 据 被 传 送 到 综 合 服 务 器 " 经 合 并 处 理 后 存入数据 库 " 并 进 行 进 一 步 的 分 析 处 理 ! 在 这 个 过 程 中 " 可应 用 I)4,8+J /K $!"<!= 以 及 "DEF" 等 标 准 和 协 议 " 实现对采集数据的编码与传输 ! 与通常的 DIF" $