NetFlow或sFlow:哪个是开放标准?

大多数网络管理员把流量分析放在他们的责任列表的前十，但是他们不经常使用数据包分析器。为什么?因为NetFlow和sFlow现在提供了它们通常寻找的大部分信息，而无需部署探测。NetFlow吗?sFlow吗?区别是什么?目前大多数SNMP可管理的交换机和路由器都支持NetFlow或sFlow。NetFlow或称为NetStream的衍生产品、IPFIX或Jflow通常在路由器上得到支持。sFlow似乎在交换机上更受欢迎。NetFlowNetFlow由Cisco Systems开发的一个NetFlow v5包将主机之间的对话(即流)与潜在的数千个数据包聚合为29个其他对话中的单个条目。换句话说，一个NetFlow包可以代表超过24台主机之间的数万个包。然而，大部分数据字段在聚合中丢失。源和目的IP地址、协议、类型、QoS、自治系统和其他一些字段都被保存。报文的其余部分在NetFlow v5中被转储，NetFlow v5的市场占有率超过80%。NetFlow v9可以节省数据包的前1200字节，但是，很少有收集器能够直观地报告数据。

SFlowSFlowInMon开发的是数据包采样技术，交换机捕获每个接口每100个数据包(可配置)，并将其发送到收集器。sFlow规范不排除对每个数据包进行“采样”——这是1 / 1的采样率。这取决于特定的芯片供应商和特定的sFlow实现来限制数据包采样的最大频率。我不知道任何供应商将样品每包。铸造网络提供一个开关，每隔一个包进行采样。由于sflow采样的性质，如果没有试图猜测准确会话字节量的复杂算法，几乎不可能准确读取每个主机的通信量。与NetFlow通常基于软件的架构不同，sFlow需要一个芯片。的sFlow.org联盟包括大多数领先的网络设备和网络流量分析供应商，他们都为该标准的规范做出了贡献。sFlow是免费授权的。不像灵活NetFlow受限于前1200字节的采样数据包，sFlow可以输出任何数量的采样数据包，受制于任何特定实现的硬件限制。

那么，哪个是开放标准:NetFlow还是sFlow?两者都是开放的。IPFIX是基于NetFlow v9的流量标准。然而，供应商一直在缓慢地实施它。北电支持IPFIX在他们5500＆8600然而，系列开关只支持采样(即类似于sFlow)。非常重要，绝对值得再次提请大家注意sFlow.org联盟包括大多数领先的网络设备和网络流量分析供应商。这些供应商为该标准的规范做出了贡献。sFlow是免费从InMon公司．在路由器厂商中，NetFlow v5似乎比sFlow更受欢迎。

那么NetFlow和sFlow哪个更好呢?在极高的流量环境中，sFlow的采样架构可能优于netflow的聚合方法。在路由器和交换机上实现NetFlow的处理能力不是问题。问题是NetFlow创建的数据包量可能非常大，收集器可能会不堪重负。服务提供商使用的路由器以外的大多数路由器每秒发送0.5到50个NetFlow包。虽然世界上有很多路由器每秒发送数百个以上的数据包，但它们不是标准的。即便如此，一些流收集器仍然可以每秒处理1000多个包。为什么大多数交换机供应商支持sFlow，如果它只是一个样本，而不是NetFlow更准确的聚合方法来测量主机之间的IP流量?好吧，既然sFlow是在芯片上出现的，人们可能会认为这是因为sFlow比NetFlow需要更少的工程来正确实现．

---

相关故事:

http://www.BradReese.Com