暢通無阻的網(wǎng)絡(luò)性能是許多 NetOps 活動的核心目標(biāo)，其中之一是通過使用數(shù)據(jù)包數(shù)據(jù)和網(wǎng)絡(luò)流來解決網(wǎng)絡(luò)性能問題。當(dāng)聚合和分析流和數(shù)據(jù)包數(shù)據(jù)時，網(wǎng)絡(luò)洞察力可以引導(dǎo)團隊找到更好的解決方案。對于每次性能下降時都依賴重新啟動系統(tǒng)的小型企業(yè)，流量洞察會引導(dǎo)他們了解網(wǎng)絡(luò)使用情況，然后找到網(wǎng)絡(luò)問題的根本原因。擁有關(guān)鍵業(yè)務(wù)服務(wù)的大型企業(yè)可能已經(jīng)在利用流和數(shù)據(jù)包數(shù)據(jù)來監(jiān)控他們的環(huán)境，即使只使用基本的數(shù)據(jù)包分析工具。

流和數(shù)據(jù)包數(shù)據(jù)是收集線索以修復(fù)性能問題的基礎(chǔ)數(shù)據(jù)源（查看事件、日志和系統(tǒng)日志以獲取更多來源）。為了從流經(jīng)網(wǎng)絡(luò)的海量數(shù)據(jù)包數(shù)據(jù)中發(fā)掘線索，高級網(wǎng)絡(luò)性能監(jiān)控和診斷 （NPMD） 軟件會收集重要的網(wǎng)絡(luò)指標(biāo)和數(shù)據(jù)，對其進行分析，然后將組織內(nèi)部網(wǎng)絡(luò)活動的準(zhǔn)確表示可視化：內(nèi)部、虛擬和云環(huán)境。這種程度的網(wǎng)絡(luò)可見性對于 IT 團隊解決網(wǎng)絡(luò)性能和安全問題至關(guān)重要。

01

什么是流和數(shù)據(jù)包

網(wǎng)絡(luò)流量監(jiān)控的思想本質(zhì)上是對通過路由器的所有網(wǎng)絡(luò)流量進行統(tǒng)計、記錄和分析，實際上，創(chuàng)建網(wǎng)絡(luò)使用情況的匯總模型。就像快速通行收費站以電子方式計算汽車和記錄使用情況一樣，流量監(jiān)控也是如此。同時，深度數(shù)據(jù)包檢測 （DPI）是檢查每個數(shù)據(jù)包的有效負(fù)載內(nèi)容的過程，以確定是通過拒絕該數(shù)據(jù)包還是允許其通過網(wǎng)絡(luò)來對該數(shù)據(jù)包采取行動。

DPI 的第三個選項是被動地收集有關(guān)哪些流量正在穿越網(wǎng)絡(luò)的信息。數(shù)據(jù)包捕獲存儲網(wǎng)絡(luò)數(shù)據(jù)包的鏡像副本，并使用取證搜索和過濾，當(dāng)出現(xiàn)新的性能、安全性或取證事件時，可以稍后在特定時間范圍內(nèi)檢查存儲的鏡像副本。為了實時了解網(wǎng)絡(luò)流動，主要的實際挑戰(zhàn)是必要的計算和存儲容量的限制，以跟上要處理的網(wǎng)絡(luò)數(shù)據(jù)的速度和數(shù)量。這是因為網(wǎng)絡(luò)流量的數(shù)據(jù)包捕獲副本會消耗大量存儲空間，并且通常僅在幾周甚至幾天后才會被清除，以便為更多副本創(chuàng)造空間。這意味著，如果實施了數(shù)據(jù)包捕獲、深度數(shù)據(jù)包檢查和流量監(jiān)控，那么 NetOps 和 SecOps 團隊將擁有最相關(guān)的數(shù)據(jù)來解決當(dāng)前的事件，離事件時間越遠，其根源的可能性就越大- 導(dǎo)致線索消失（通過復(fù)制數(shù)據(jù)包捕獲副本修復(fù)的情況）。

數(shù)據(jù)包包含線索。整個文件不會在整個網(wǎng)絡(luò)中以一份形式傳輸。相反，網(wǎng)絡(luò)消息被打包，然后通過互聯(lián)網(wǎng)和其他連接路由，在目的地重新組裝。每個數(shù)據(jù)包通常被組織成三個段，無論其大小如何，即header、payload和footer。當(dāng)數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)路由器時，它們的頭部被讀取并基于 5-7 個數(shù)據(jù)包頭部屬性進行“指紋識別”。

如果路由器無法識別流經(jīng)它的數(shù)據(jù)包的指紋，則將在流緩存中創(chuàng)建具有該指紋的新流條目。該條目將包含一個 5 元組，即上面列出的主要數(shù)據(jù)包屬性，以及用于計算數(shù)據(jù)包流量及其字節(jié)數(shù)的變量。每次與指紋匹配的數(shù)據(jù)包通過時，相應(yīng)的流條目計數(shù)器都會增加，從而有效地創(chuàng)建一個總結(jié)該數(shù)據(jù)包流的記錄。然后將緩存的流數(shù)據(jù)通過網(wǎng)絡(luò)周期性地輸出到流收集器和流分析器，將來自各個路由器的不同的輸出流數(shù)據(jù)匯總在一起，進行可視化分析。今天的大多數(shù)路由器都具有某種品牌的 xFlow 導(dǎo)出功能，允許將流數(shù)據(jù)從路由器發(fā)送到收集器和分析器。Netflow 是事實上的行業(yè)流協(xié)議，起源于 Cisco 設(shè)備并以該協(xié)議為特色，其他流行的協(xié)議包括 IPFIX、J-Flow 和 sFlow。

僅從上面的那幾個數(shù)據(jù)包屬性就可以理解大部分網(wǎng)絡(luò)行為。

源地址和目標(biāo)地址告訴誰是流量的發(fā)起者和接收者

端口和服務(wù)等級說明正在使用的應(yīng)用程序及其流量優(yōu)先級

設(shè)備接口告訴設(shè)備如何利用流量

通過統(tǒng)計數(shù)據(jù)包，可以確定總的流量流量

時間戳可用于及時放置流并確定其速率

應(yīng)用程序和網(wǎng)絡(luò)延遲提供有關(guān)每個事務(wù)所需時間的度量

02

如何衡量

可以在網(wǎng)絡(luò)性能儀表板上可視化流量——說明了使用 NetFlow 數(shù)據(jù)的端到端網(wǎng)絡(luò)流量可視化。如下圖所示，流和數(shù)據(jù)包數(shù)據(jù)是單個源數(shù)據(jù)包的互補方面——通常被稱為網(wǎng)絡(luò)監(jiān)控中的最終真實來源。流通過總結(jié)在端點之間傳輸?shù)臄?shù)據(jù)包來顯示Top可見性，而數(shù)據(jù)包捕獲和 DPI 提供了對數(shù)據(jù)包內(nèi)部內(nèi)容的更深入的詳細(xì)信息，闡明了實際通過網(wǎng)絡(luò)的數(shù)據(jù)。將兩者結(jié)合為 NetOps 和 SecOps 團隊提供了巨大的價值，但是，每個團隊都有其局限性和缺點。因為流數(shù)據(jù)是總結(jié)而不是深入細(xì)節(jié)，所以流數(shù)據(jù)在診斷和排除配置問題或錯誤條件方面受到限制。他們擅長的是通過應(yīng)用程序、協(xié)議、域、端口以及源和目標(biāo) IP 提供對流量的洞察。這意味著大量流量的帶寬問題突然被分解為一個一個流。這可以快速有效地突出帶寬占用。此外，流帶寬表示伴隨著哪些設(shè)備正在運行這些 hogs，以及是應(yīng)用程序還是設(shè)備本身在進行 hogging。這種級別的可見性對于根據(jù)網(wǎng)絡(luò)和用戶行為制定使用策略非常有用。通過數(shù)據(jù)包捕獲存儲的網(wǎng)絡(luò)流量的鏡像副本，可以重新創(chuàng)建歷史流量，并且可以在數(shù)據(jù)中發(fā)現(xiàn)詳細(xì)的線索，以解決隱藏在細(xì)節(jié)中的更具體的技術(shù)問題，例如錯誤配置的證據(jù)、外部入侵或硬件故障。

此外，通過深度數(shù)據(jù)包檢查，數(shù)據(jù)包會根據(jù)一組由 NetOps 和/或 SecOps 團隊創(chuàng)建的定制規(guī)則進行判斷（過濾）。通過將某些流量列入白名單或黑名單，例如僅允許關(guān)鍵協(xié)議，或基于來自先前已知為威脅的數(shù)據(jù)庫的匹配簽名拒絕數(shù)據(jù)包模式，DPI 可用于入侵檢測系統(tǒng) （IDS） 和入侵防御系統(tǒng)（IPS） 以防止蠕蟲、病毒和間諜軟件進入網(wǎng)絡(luò)，并在出現(xiàn)網(wǎng)絡(luò)問題時提醒團隊。

03 使用監(jiān)控軟件解決網(wǎng)絡(luò)性能問題

對網(wǎng)絡(luò)性能問題進行故障排除是一個找出相關(guān)數(shù)據(jù)線索的過程，這些線索可以導(dǎo)致對潛在問題的合理評估。有時問題很簡單，例如，路由器可能會變得擁塞，但問題不一定是設(shè)備故障，而是了解網(wǎng)絡(luò)流量使用情況可能會導(dǎo)致重新配置修復(fù)，將業(yè)務(wù)關(guān)鍵流量優(yōu)先于個人使用流量，從而導(dǎo)致過度消耗帶寬資源。如果監(jiān)控網(wǎng)絡(luò)流量，可以很快得出這個結(jié)論，如果監(jiān)控軟件能夠清楚地可視化流量或生成警報，則可以更快地得出結(jié)論。

底層網(wǎng)絡(luò)問題越復(fù)雜，就越需要協(xié)議和數(shù)據(jù)包分析方面的偵查和專業(yè)知識。通過使用 NPMD 和網(wǎng)絡(luò)檢測和響應(yīng) （NDR） 軟件，找到常見問題的答案相當(dāng)容易，只需深入到可視化的問題區(qū)域，讓軟件嗅出潛在問題并提供反饋，有些還可能建議潛在問題修復(fù)，其他人可能會為您提供詳細(xì)的圖表和表格，以進行您自己的評估。流圖中的橙色圓圈顯示了組織整體網(wǎng)絡(luò)中的擁塞部分，單擊橙色圓圈將深入到故障區(qū)域。

可能有幾個罪魁禍?zhǔn)拙蜁?dǎo)致網(wǎng)絡(luò)滯后。例如，網(wǎng)絡(luò)擁塞的根本原因可能來自網(wǎng)絡(luò)設(shè)備故障或配置錯誤、內(nèi)部帶寬使用過多或外部 DDoS 攻擊。如果沒有分析流量和數(shù)據(jù)包數(shù)據(jù)的綜合工具，嘗試和錯誤可能是網(wǎng)絡(luò)運營商唯一的替代故障排除方法。

利用流和數(shù)據(jù)包數(shù)據(jù)的網(wǎng)絡(luò)性能監(jiān)控軟件共有的有用功能可以為網(wǎng)絡(luò)管理員提供有關(guān)解決其網(wǎng)絡(luò)性能問題的線索。這四個提供了對網(wǎng)絡(luò)的非凡洞察力：

拓?fù)湟晥D對于理解底層物理網(wǎng)絡(luò)非常重要，因為當(dāng)今的網(wǎng)絡(luò)更加復(fù)雜和動態(tài)，融合了不同的技術(shù)，如廣域網(wǎng)、SD-WAN、WiFi、遠程站點、數(shù)據(jù)中心和多云服務(wù)，因此尤其難以排除故障。

流路徑分析功能提供設(shè)備、接口、應(yīng)用程序、VPN 和用戶的端到端可見性。通過關(guān)聯(lián)躍點和流量，監(jiān)控軟件可以將網(wǎng)絡(luò)和應(yīng)用程序性能疊加到拓?fù)湟晥D上。綜合起來，這些模型將性能與底層物理網(wǎng)絡(luò)相關(guān)聯(lián)，強調(diào)網(wǎng)絡(luò)基礎(chǔ)設(shè)施中的弱點。

應(yīng)用程序監(jiān)控通過了解跨多個網(wǎng)段、域和結(jié)構(gòu)的應(yīng)用程序?qū)拥臄?shù)據(jù)包數(shù)據(jù)來識別應(yīng)用程序使用情況。這不僅有助于了解網(wǎng)絡(luò)性能，而且可以直接解決用戶體驗問題并減少負(fù)面業(yè)務(wù)影響。

入侵檢測和預(yù)防監(jiān)控對于檢測可能發(fā)生的事件的跡象并試圖阻止它們很有用。在更高級的網(wǎng)絡(luò)中發(fā)現(xiàn)，作為預(yù)防網(wǎng)絡(luò)性能下降的主動響應(yīng)，IDS 和 IDP 系統(tǒng)依靠讀取數(shù)據(jù)包并應(yīng)用多種檢測技術(shù)、基于簽名的方法、基于異常的方法和狀態(tài)協(xié)議分析來檢測問題即時的。

04 利用流和數(shù)據(jù)包進行故障排除

拓?fù)湟晥D

識別需要升級或更換的基礎(chǔ)設(shè)施組件

使用自動設(shè)備發(fā)現(xiàn)維護實時全面的設(shè)備清單

主動識別阻塞點

比較不同的性能指標(biāo)

流路徑分析

根據(jù) IP 地址跨端點識別可能的路由、躍點和網(wǎng)絡(luò)延遲影響

識別由負(fù)載平衡引起的問題

識別由路由引起的問題

應(yīng)用監(jiān)控

建立可用于監(jiān)控異常流量水平的性能基線

發(fā)現(xiàn)有關(guān)如何在應(yīng)用程序級別使用網(wǎng)絡(luò)的最深刻見解

識別允許使用的策略弱點

入侵檢測和防御監(jiān)控

根據(jù)其簽名（基于簽名）識別已知的攻擊或攻擊類型

識別與網(wǎng)絡(luò)行為規(guī)范的偏差（基于異常）

識別與協(xié)議使用規(guī)范的偏差（狀態(tài)協(xié)議分析）

這表明從流和數(shù)據(jù)包數(shù)據(jù)推斷的端到端可見性有助于在最關(guān)鍵級別進行網(wǎng)絡(luò)故障排除，并為進一步監(jiān)控跟蹤應(yīng)用程序性能的集成以及對業(yè)務(wù)目標(biāo)產(chǎn)生重大影響的復(fù)雜用戶體驗奠定基礎(chǔ)。

05 使用LiveNX進行網(wǎng)絡(luò)故障排除

LiveNX基于流（即 Netflow、IPFIX、SFlow、JFlow 等），SNMP和數(shù)據(jù)包等多種數(shù)據(jù)源，通過來自幾乎任何地方的數(shù)據(jù)——WAN、SD-WAN、WiFi、遠程站點、數(shù)據(jù)中心，查看并整個網(wǎng)絡(luò)，關(guān)聯(lián)多種數(shù)據(jù)源，實現(xiàn)端到端的可視化分析。輕松地從警報和上下文數(shù)據(jù)下鉆到 Flow 性能數(shù)據(jù)，并進一步深入到目標(biāo)數(shù)據(jù)包級分析，以實現(xiàn)全面的故障解決工作流程 - 實現(xiàn)加速網(wǎng)絡(luò)、減少延遲抖動并減少 MTTR。LiveNX 提供從多個事件聚合的特定的警報，從而僅顯示需要立即關(guān)注的警報。此外，LiveNX Insight 模塊利用機器學(xué)習(xí)進行主動異常檢測和路徑更改通知。LiveNX 可幫助您以前所未有的方式排除網(wǎng)絡(luò)故障：

用于應(yīng)用程序故障排除的可視化分析

綜合儀表板和報告

主動警報和異常檢測

端到端的可視化分析

從Flow到數(shù)據(jù)包取證分析

虹科提供具有端到端監(jiān)控分析能力的解決方案LIveNX和數(shù)據(jù)包捕獲分析設(shè)備LiveWire/LiveCapture，兩者既可以單獨使用也可以集成到一起實現(xiàn)更強大的分析能力。

網(wǎng)絡(luò)性能監(jiān)控

應(yīng)用性能監(jiān)控

端到端可視化

flow到數(shù)據(jù)包詳細(xì)分析

高速全流量捕獲分析

上百種詳細(xì)報告

高級異常檢測和預(yù)測分析

責(zé)任編輯：haq