按流统计替代抓包
当问题是「谁把带宽占满了」而不是「某个包为什么被丢」时，逐包抓取既费力又看不到全貌。流统计把报文按源地址、目的地址、端口、协议等字段聚合，记录每条流的字节数、包数与时间信息，再导出到采集器做排名与趋势分析，能直接回答占用带宽最多的地址、业务和应用。部署前要约定好采样口径：开启采样后统计值是按比例推算的，不同设备不同采样比的数据不能直接横向比较；只采集入方向会漏掉出方向拥塞的全貌。
基本信息
| 基本原理 | 按流缓存聚合报文信息，定期导出到采集器 |
|---|---|
| 典型字段 | 源目的地址、端口、协议、字节数、包数、时间戳 |
| 主要用途 | 带宽排名、异常流量发现、容量趋势分析 |
| 采样影响 | 开启采样后统计值为推算值，需标明采样比 |
| 替代手段 | 端口镜像抓包适合做短时的协议级深度分析 |
典型使用场景
- 带宽被占满：找出排名靠前的地址与业务
- 异常流量发现：识别扫描、异常外联或非预期的大流量
- 容量规划：基于长期趋势判断何时需要扩容
- 变更评估：确认某项业务上线后的流量影响
- 故障辅助定位：判断中断时段流量是否整体下降还是单方向消失
Cisco 配置骨架
Cisco 配置骨架
flow record FR
match ipv4 source address # 匹配源地址
match ipv4 destination address # 匹配目的地址
match transport destination-port # 匹配目的端口
collect counter bytes # 采集字节计数
!
flow exporter FE
destination 10.9.9.50 # 采集器地址
transport udp 2055 # 导出端口
!
flow monitor FM
exporter FE
record FR
!
interface GigabitEthernet0/0
ip flow monitor FM input # 入方向启用
!
show flow monitor FM cache format table部署要点与影响
| 要点 | 说明 | 不当配置的后果 |
|---|---|---|
| 采样比 | 决定统计精度与设备开销 | 不同采样比数据不可直接比较 |
| 采集方向 | 入方向与出方向分别决策 | 只采一个方向会漏掉拥塞全貌 |
| 采集器容量 | 按设备数量与流条目量评估 | 数据被丢弃，统计不完整 |
| 缓存与老化 | 影响峰值时的记录数 | 缓存过小会丢统计，过大占内存 |
流统计的绝对值受采样比影响，用「占比」和「变化趋势」判断比用绝对数值更稳妥。
采集器与设备之间通常走 UDP，网络异常时会静默丢数据；发现统计缺口时先确认导出链路的可达性。