6343 是什么
6343 是 sFlow 采集器的默认 UDP 端口。sFlow 的工作方式与 NetFlow 不同：交换机按固定采样率（例如两千分之一）抽取报文，把采样头与接口计数器封装成 UDP 报文持续发往采集器，采集器据此还原流量构成。它属于网络设备自带能力，配置简单、开销低，ntopng 与 sFlowTrend 等工具都直接接收 6343。因为是单向 UDP，链路任何一段出问题都不会在交换机侧报错。
基本信息
| 服务 | sFlow collector（默认 6343 UDP） |
|---|---|
| 协议 | UDP |
| 用途 | 网络流量采样与可视化分析 |
| 配置位置 | 交换机的 sflow 相关命令 |
| 常见采集器 | ntopng、sFlowTrend |
| 安全等级 | 仅网管网段 |
典型使用场景
- 流量分析看板搭建：交换机配置采样目标指向采集器
- 异常流量定位：看谁在占带宽、哪些协议突增
- 采样排障：图表空白时先确认报文是否到达采集器
- 链路容量评估：用采样数据辅助扩容与选路判断
- 安全分析：识别异常外联与端口扫描的流量特征
- 设备侧配置评审：核对采样率与采集目标是否与实际相符
sFlow 与 NetFlow 对比
| 维度 | sFlow | NetFlow |
|---|---|---|
| 采样方式 | 按包采样（固定比例） | 按流统计（超时导出） |
| 传输 | UDP 6343（默认） | 常见 UDP 2055 等 |
| 方向 | 设备 → 采集器（单向） | 设备 → 采集器（单向） |
| 典型用途 | 流量构成分析 | 会话级流量与计费 |
采集侧确认
采集侧确认
ss -lunp | grep 6343 # 采集器监听
tcpdump -i any -nn udp port 6343 -c 5 # 确认有包到达
tcpdump -i any -nn -s 200 udp port 6343 -A | head -20 # 看采样报文内容
# 交换机侧: sflow agent ip 与 sflow collector 配置需配套
# 容量核对: 采样率越低，采集器压力越大sFlow 全是单向 UDP：采集器没启动、防火墙未放行、路由不可达都不会在交换机侧报错，现象统一是图表没数据，因此排障第一步永远是抓包确认。
采样率决定数据量与精度：生产环境通常按链路带宽调整，核心口采样更稀；改采样率前先确认采集器的处理能力，否则会打出反向效果。
采集器是单点：它停机期间的数据不会补采，历史曲线出现空洞并不代表当时没有流量，分析时要注意这一点。
采样数据只能反映被采样设备看到的那部分流量：部署位置选错（例如在接入层而非汇聚层）会让分析结论偏离实际。