NetFlow 流量日志基础是什么
NetFlow 是设备把流经的流量汇总成「流记录」并导出到采集器的技术，一条记录通常描述一组相同五元组流量的统计结果，而不是每个报文的详细内容。它回答的是「谁在什么时间与谁通信、传了多少数据」，而不是「报文里写了什么」。因此流量分析、异常外联发现和容量规划是它的主场，精确溯源与内容审计则必须依靠会话日志和应用日志。
基本信息
| 常见版本 | NetFlow v5（固定格式）、v9（模板化）、IPFIX（标准化扩展） |
|---|---|
| 记录内容 | 五元组、字节与包数、起止时间、输入输出接口、下一跳 |
| 采集方式 | 设备或交换机导出到采集器，常见采集端口 2055、9995 |
| 采样机制 | 高带宽场景下按比例采样，采样比越高精度越低 |
| 典型用途 | 流量分析、异常外联发现、容量规划、跨域流量计费 |
典型使用场景
- 排查带宽占用：按源或目的地址排序，找出占带宽最多的通信对
- 异常外联发现：识别内网主机与异常目的地的大量通信
- 容量规划：按周按月统计出口流量趋势，为扩容提供依据
- 跨域访问分析：确认哪些业务在访问境外地址，辅助策略调整
- 策略优化支撑：结合命中数据判断某段流量是否仍存在
- 安全事件初筛：用流量记录定位事件涉及的主机与时间窗口
设备侧配置要素
设备侧配置要素
# 1. 在业务接口开启流量统计（各厂商命令不同，以设备为准）
# 2. 指定采集器地址与端口，常见为 2055 或 9995
# 3. 选择导出格式与版本（v5 / v9 / IPFIX）
# 4. 按带宽设置采样比，避免超出采集器处理能力
# 5. 配置源接口或源地址，便于采集器识别设备
# 6. 验证：采集器侧确认收到记录，并核对时间与流量量级能力与局限
| 维度 | 表现 | 说明 |
|---|---|---|
| 数据粒度 | 流级统计而非报文级 | 拿不到内容，不适合内容审计 |
| 精度 | 受采样比影响 | 采样比高时小流量可能完全采不到 |
| 时效 | 通常近实时导出 | 适合趋势分析，不适合精确计费 |
| 存储成本 | 记录量大，需规划留存 | 全量留存成本高，通常保留近期明细 |
采样比要与分析目标匹配：只用来看大流量趋势可以降采样，用于发现低频异常外联时采样过高会导致目标完全被漏掉。
把 NetFlow 当全量会话日志做精确溯源是不可行的，端口与内容级的细节需要在会话日志或应用日志里找。