流量采样与可视化分析
想知道「谁在占带宽」，长期靠端口镜像抓包不现实：镜像口带宽有限，也承受不了长期全量复制。流量采样（sFlow / NetFlow）换个思路：设备按比例抽取报文并把摘要送到采集器，由采集器聚合分析。它的转发开销小、可以覆盖全部端口，适合带宽画像与异常流量追溯，代价是数据精度低于全量抓包。
基本信息
| 适用平台 | 华为 VRP 与 H3C Comware（sflow collector + sampling-rate）、思科 IOS（Flexible NetFlow：flow exporter / flow monitor） |
|---|---|
| 采集器端口 | sFlow 默认使用 UDP 6343 |
| 采样率 | 常见 1000:1 起步，按设备性能与精度需求调整 |
| 配置位置 | 全局定义采集器，端口上开启采样并引用 |
| 数据精度 | 统计趋势准确，单包级细节不完整 |
典型使用场景
- 带宽治理：找出长期占用出口带宽的前几名 IP 或协议
- 异常流量追溯：某段时间流量突增，回看采样记录定位来源
- 容量规划：按周/月统计趋势，为带宽扩容提供依据
- 安全监测：配合采集器识别端口扫描、异常连接等行为特征
- 多端口覆盖：需要同时观测大量端口时，采样的成本远低于镜像
华为 VRP
华为 VRP
[Huawei] sflow collector 1 ip 10.10.0.100 port 6343 # 定义采集器
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] sflow sampling-rate 1000 # 1000:1 采样
[Huawei-GigabitEthernet0/0/1] sflow collector 1 # 端口引用采集器
[Huawei-GigabitEthernet0/0/1] sflow enable # 开启采样
<Huawei> display sflow # 查看采样配置与状态思科 IOS
思科 IOS
SW-CORE-01(config)# flow exporter EXP-1
SW-CORE-01(config-flow-exporter)# destination 10.10.0.100
SW-CORE-01(config-flow-exporter)# transport udp 2055
SW-CORE-01(config)# flow monitor MON-1
SW-CORE-01(config-flow-monitor)# exporter EXP-1
SW-CORE-01(config-if)# ip flow monitor MON-1 input # 端口引用监控器
SW-CORE-01# show flow monitor MON-1 statistics # 采集统计H3C Comware
H3C Comware
[H3C] sflow collector 1 ip 10.10.0.100 port 6343
[H3C] interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1] sflow sampling-rate 1000
[H3C-GigabitEthernet1/0/1] sflow collector 1
<H3C> display sflow
! 命令结构与华为接近，默认参数以设备 ? 帮助为准采样与镜像对比
| 维度 | 流量采样 | 端口镜像+抓包 |
|---|---|---|
| 覆盖范围 | 可覆盖全部端口 | 受镜像口带宽限制 |
| 设备开销 | 较低，按比例采样 | 中等，全量复制被镜像流量 |
| 数据精度 | 统计与趋势，单包不完整 | 全量报文，可看细节 |
| 适用时长 | 长期常开 | 短时排障 |
| 典型工具 | 采集器聚合分析 | 抓包软件逐包分析 |
采样率的取舍：比例太低（如 1:100）在万兆口会显著增加设备与采集器负担，比例太高（如 1:10000）小流量业务会被完全漏掉。先按设备性能与业务规模选一个起点，再依据采集器告警调整。