NetFlow或sFlow:哪个是开放标准?

大多数网络管理员都把流量分析放在其职责列表的前十位，但他们并不经常使用包分析器。为什么？因为NetFlow和sFlow现在提供了它们通常需要的大部分信息，而不需要部署探测。NetFlow吗?sFlow吗?有什么区别?目前大多数SNMP可管理交换机和路由器支持NetFlow或sFlow。路由器通常支持NetFlow或NetStream、IPFIX或Jflow的衍生工具。sFlow在交换机上似乎更受欢迎。NetFlowNetFlow由思科系统开发，将主机之间的对话(即流)与潜在的数千个数据包聚合到一个单独的条目中，在一个NetFlow v5数据包中包含29个其他对话。换句话说，一个NetFlow包可以代表二十多个主机之间的数万个包。但是，在聚合中丢失了大部分数据字段。保存的字段包括源IP地址、目的IP地址、协议、类型、QoS、自治系统等。其余的数据包被丢弃在NetFlow v5中，NetFlow v5占市场的80%以上。NetFlow v9可以节省数据包的前1200字节，但是很少有收集器能够直观地报告数据。

SFlowSFlow由校外开发的是一个数据包采样技术，开关每一个接口捕获每一第100个数据包（可配置），并将其发送到收集器。SFLOW规范不排除每个数据包的“采样” - 这是一个采样率为1。它取决于特定的芯片供应商和特定的SFLOW实现，以限制数据包采样的最大频率。我不知道任何将为每个数据包进行采样的供应商。铸造网络提供一个开关，它将对每个其他数据包进行采样。由于Splows采样性质，每宿主的准确读数几乎不可能，没有复杂的算法，它试图在准确的对话字节卷中猜测。与正常软件基于软件的NetFlow架构不同，SFLOW需要芯片。这sflow.org.该联盟包括大多数领先的网络设备和网络流量分析供应商，他们对标准的规范做出了贡献。sFlow是免费授权的。不像灵活的netflow.它被限制在采样包的前1200字节，sFlow可以输出任意数量的采样包，受特定实现的任何硬件限制。

那么它是开放标准：netflow或sflow？两者都是开放的。IPFIX是一种基于Netflow V9的流量标准。然而，供应商实施速度很慢。北电支持他们的IPFIX5500.＆8600系列开关，然而，他们只支持采样(即类似于sFlow)。非常重要，也非常值得大家注意sflow.org.该联盟包括大多数领先的网络设备和网络流量分析供应商。这些供应商对标准的规范做出了贡献。sFlow是免费授权的INMON公司．在路由器厂商中，NetFlow v5似乎比sFlow更受欢迎。

那么哪个更好：netflow或sflow？在极高流量的环境中，sFlow的抽样架构可能优于NetFlows聚合方法。在路由器和交换机上实现NetFlow的处理能力不是问题。问题是NetFlow创建的包量可能非常大，收集器可能会不堪重负。除了服务提供商使用的路由器外，大多数路由器每秒发送0.5到50个NetFlow包。虽然世界上有很多路由器每秒发送几百个数据包，但它们不是标准。即便如此，一些流量收集器仍然可以每秒处理1000多个数据包。如果sFlow只是一个样本，为什么大多数交换机供应商都支持它，而NetFlow则是更精确的聚合方法，用于测量主机之间的IP流量?嗯，由于SFLOW来到芯片上，因此可能会导致它相信它是因为SFLOW需要更少的工程，而不是NETFLOW．

---

相关故事:

http://www.BradReese.Com