【導(dǎo)讀】流流量量分分析析解解決決方方案案。上海春燕通信設(shè)備有限公司第I頁(yè)

　　

【正文】 先進(jìn)的報(bào)表能力 Peakflow SP 提供內(nèi)置最大和最尖端的流量特征化和網(wǎng)絡(luò)使用報(bào)表 —— 全部為實(shí)時(shí)。 與需要數(shù)周時(shí)間作額外配置或?qū)?Scripts 的免費(fèi)軟件和其他系統(tǒng)不一樣， Peakflow系統(tǒng)所提供數(shù)據(jù)立即可用，適用于關(guān)鍵業(yè)務(wù)和工程流量決定所需要的報(bào)表。 缺省地， Peakflow SP 對(duì)經(jīng)過(guò)大范圍流和拓?fù)浣M別的流量進(jìn)行分類(lèi)，包括起源 AS、過(guò)境 AS、應(yīng)用、重要的起源 / 目的地 IP 子網(wǎng)、無(wú)默認(rèn)、等等。全部統(tǒng)計(jì)資料都能從每個(gè)接口、每個(gè)路由器、每個(gè)對(duì)等、每個(gè)配置模板、和全網(wǎng)范圍的基礎(chǔ)上得到。 Peakflow SP 提供基于從分鐘到天、周、月和年的各級(jí)時(shí)間段內(nèi)流量的詳細(xì)圖表。 這套系統(tǒng)還提供總體圖表和允許網(wǎng)管人員把圖表放大以詳細(xì)觀看流量趨勢(shì)中細(xì)小的變化。 網(wǎng)絡(luò)詳細(xì)設(shè)計(jì) 上海 春燕通信設(shè)備有限公司 第 26 頁(yè) 系統(tǒng)內(nèi)部能夠存儲(chǔ) 52 周的流量數(shù)據(jù)，并能夠通過(guò)二次開(kāi)發(fā)的管理與分析系統(tǒng)提供3 年內(nèi)的流量結(jié)果分析。系統(tǒng)能夠提供指定時(shí)間的流量分析結(jié)果，提供指定時(shí)間段 ，指定時(shí)間周期的報(bào)告，方便進(jìn)行分析。 系統(tǒng)管理和告警 目前運(yùn)營(yíng)商的網(wǎng)管系統(tǒng)正向著界綜合網(wǎng)管發(fā)展。為了能夠?qū)⒘髁糠治鱿到y(tǒng)融合到運(yùn)營(yíng)商現(xiàn)有的網(wǎng)管系統(tǒng)中，系統(tǒng)提供了 SNMP MIB 可供運(yùn)營(yíng)商現(xiàn)有的網(wǎng)管系統(tǒng)調(diào)用。同時(shí)系統(tǒng)還可以根據(jù)用戶(hù)的定義將不同級(jí)別的告警以 Trap 的方式發(fā)送到網(wǎng)管系統(tǒng)中的告警模塊。 系統(tǒng)還能夠通過(guò) Email、 SNMP TRAP、 SYSLOG 等方式直接將不同級(jí)別的告警按照系統(tǒng)管理員的配置發(fā)送給系統(tǒng)管理員、日志服務(wù)器或者直接發(fā)送給網(wǎng)絡(luò)用戶(hù)。 支持 MPLS/TOS 路由器 打開(kāi) MPLS 功能后，將只能發(fā)送 Netflow V9 格式的數(shù)據(jù)，目前， Arbor 已經(jīng)先于其它廠家完成了對(duì) Netflow V9 的支持，從而實(shí)現(xiàn)了對(duì) MPLS 業(yè)務(wù)的支持。 系統(tǒng)支持對(duì)不同業(yè)務(wù)質(zhì)量等級(jí)的業(yè)務(wù)按照其 TOS 值進(jìn)行分析。 系統(tǒng)監(jiān)控 Arbor Peakflow 系統(tǒng)能夠自動(dòng)監(jiān)測(cè)系統(tǒng)所用設(shè)備的運(yùn)行情況，以及系統(tǒng)監(jiān)控的Netflow Session 數(shù)量，并能夠監(jiān)控各個(gè)設(shè)備的 CPU/Memory/磁盤(pán)等使用情況。系統(tǒng)管理員能夠非常方便的了解系統(tǒng)運(yùn)行的情況，并對(duì)系統(tǒng)的歷史運(yùn)行情況進(jìn)行查詢(xún)。 精確的數(shù)據(jù)查詢(xún)和結(jié)果輸出 用戶(hù)通過(guò) Arbor Peakflow 系統(tǒng)可以以日 /周 /月 /年方式查詢(xún)歷史結(jié)果，同時(shí)還可以查詢(xún)一年內(nèi)任意時(shí)間段的分析結(jié)果。用戶(hù)可以非常方便的以 EXCEL 等格式下載歷史結(jié)果，并通過(guò)簡(jiǎn)單的 OFFICE 操作得到需要的圖表，并可以查詢(xún)得到每個(gè)具體時(shí)間段（具體到5 分鐘）的實(shí)際數(shù)據(jù)。 網(wǎng)絡(luò)詳細(xì)設(shè)計(jì) 上海 春燕通信設(shè)備有限公司 第 27 頁(yè) 字典功能 運(yùn)營(yíng)商的網(wǎng)絡(luò)管理員經(jīng)常需要面對(duì)大量陌生的 TCP/UDP 端口號(hào)和 AS 號(hào)，需要浪費(fèi)很多時(shí)間去查詢(xún)這些數(shù)字所代表的業(yè)務(wù)名稱(chēng)或者運(yùn)營(yíng)商名稱(chēng)。 Arbor Peakflow 系統(tǒng)本身內(nèi)置字典功能并 支持用戶(hù)自定義字典，能夠自動(dòng)將這些數(shù)字翻譯成實(shí)際的業(yè)務(wù)名稱(chēng)，如將 TCP 的 80 端口翻譯成 WWW， AS4134 翻譯成 ChinaNET 等。 同時(shí)很多業(yè)務(wù)（如目前流量占互聯(lián)網(wǎng)流量很大比率的 BT/Edonkey 等 P2P 業(yè)務(wù)）同時(shí)使用很多端口， Arbor Peakflow 將不同的端口號(hào)定義為同一種業(yè)務(wù)，從而得到使不同端口號(hào)的同類(lèi)業(yè)務(wù)的分析結(jié)果。 長(zhǎng)遠(yuǎn)的發(fā)展 Arbor Networks 與 Cisco、 Juniper 和 Foudry 公司具有良好的合作伙伴關(guān)系，因?yàn)橛兴伎茷楣咎峁┵Y金， Arbor 網(wǎng)絡(luò)直接涉及 NetFlow 標(biāo)準(zhǔn)的發(fā)展， Arbor 也是 Juniper高級(jí)合作伙伴 （得到這種身份唯一的公司）， Cisco 和 Juniper 都擁有 Arbor Networks 的股份。因此 Arbor Networks 能夠比其它廠家更早地得到這些廠家的技術(shù)細(xì)節(jié)資料和研發(fā)的支持，以保障能夠最早對(duì)這些廠家的新的流量分析功能進(jìn)行支持。目前， Arbor 已經(jīng)先于其它廠家完成了對(duì) Netflow V9 的支持，從而實(shí)現(xiàn)了對(duì) MPLS 業(yè)務(wù)的支持（ Cisco 設(shè)備打開(kāi) MPLS 后只能發(fā)送 Netflow V9 格式的數(shù)據(jù)），這在很大程度上就得益于 Arbor 和Cisco 的良好合作關(guān)系。 Arbor 網(wǎng)絡(luò)也繼續(xù)保持在骨干流量、安全和拓?fù)溲芯款I(lǐng)域里業(yè)界領(lǐng)導(dǎo)的地位。 Arbor 研究人員最新和進(jìn)行中的研究 （在同行評(píng)審的雜志里出版，在 NANOG、 IETF等會(huì)議中發(fā)表） 繼續(xù)在 BGP 協(xié)議行為的知識(shí)、數(shù)據(jù)流采樣技術(shù)和因特網(wǎng)蠕蟲(chóng)和保安方面保持領(lǐng)先的技術(shù)水平。 網(wǎng)絡(luò)詳細(xì)設(shè)計(jì) 上海 春燕通信設(shè)備有限公司 第 28 頁(yè) 第五章 Arbor Peakflow 產(chǎn)品介紹 產(chǎn)品概述 Arbor Networks Peakflow 平臺(tái)是一個(gè)分布式、非侵?jǐn)_、可擴(kuò)展的解決方案，它能夠檢測(cè)網(wǎng)絡(luò)異常，例如拒絕服務(wù)（ DoS）攻擊和蠕蟲(chóng)的傳播，并且使網(wǎng) 絡(luò)管理人員能夠迅速解除這些安全威脅從而保證網(wǎng)絡(luò)的可用性和性能。 Peakflow 解決方案已經(jīng)出廠超過(guò)一年 , 并且被廣泛部署在很多網(wǎng)絡(luò)里 , 包括產(chǎn)品最初研究工作開(kāi)展的密西根大學(xué)和Mich —— 一家在密西根地區(qū)服務(wù)于很多主要學(xué)術(shù)機(jī)構(gòu)的地區(qū)因特網(wǎng)運(yùn)營(yíng)商。 其中， Mich 更是 Arbor Networks 非常忠實(shí)的支持者 , 并且已經(jīng)作為一個(gè)公開(kāi)的參考站點(diǎn)、產(chǎn)品測(cè)試合作伙伴、和作為產(chǎn)品演示的站點(diǎn)。 Arbor Networks PeakflowTM 解決方案為大規(guī)模 IP 網(wǎng)絡(luò)提供實(shí)時(shí)監(jiān)控和異常現(xiàn)象的檢測(cè)。 使用非侵?jǐn)_的數(shù)據(jù)收集方法， Peakflow 持續(xù)從用戶(hù)的路由基礎(chǔ)設(shè)施中獲取流量和路由數(shù)據(jù) , 從而建立和維護(hù)一個(gè)高顆粒度網(wǎng)絡(luò)信息的數(shù)據(jù)庫(kù)。 Peakflow 拒絕服務(wù)（ DoS）平臺(tái)通過(guò)使用這數(shù)據(jù)庫(kù)里的信息，建立運(yùn)營(yíng)商網(wǎng)絡(luò)正常情況的模型 。 這樣一來(lái) , 就可以把這個(gè)模型跟實(shí)時(shí)收集的數(shù)據(jù)進(jìn)行比較以檢測(cè)流量規(guī)則的改變。這種異?，F(xiàn)象檢測(cè)方法提供一種非常可靠的途徑來(lái)檢測(cè)和追蹤源于惡意攻擊 , 網(wǎng)絡(luò)配置而造成的合法流量變化，以及新服務(wù)的啟動(dòng)等原因所導(dǎo)致的網(wǎng)絡(luò)變化。通過(guò)把這種獨(dú)特的方法用于檢測(cè)網(wǎng)絡(luò)的異?，F(xiàn)象， Peakflow DoS 提供一種理想的解決方案供運(yùn)營(yíng)商、大學(xué)和大型企業(yè)了解網(wǎng)絡(luò)中的安全威脅 , 并且在關(guān)鍵服務(wù)或者基礎(chǔ)設(shè)施受破壞前實(shí)施保護(hù)的策略。 Peakflow SP 是建立于 Peakflow DoS 的基礎(chǔ)上。采用大多數(shù)最初為 DoS 開(kāi)發(fā)相同的流量收集和集中方法， Peakflow SP 被設(shè)計(jì)作為一個(gè)先進(jìn)的網(wǎng)絡(luò)報(bào)表工具 , 能夠提供給用戶(hù)有關(guān)整個(gè)網(wǎng)絡(luò)或者具體的路由器、接口、對(duì)等（ Peer）、和資源組高顆粒度流量和路由信息報(bào)表。 這些報(bào)表使包括對(duì)等評(píng)選、網(wǎng)絡(luò)容量計(jì)劃、路由安全、網(wǎng)絡(luò)應(yīng)用的監(jiān)控、和協(xié)議使用等許多較大的網(wǎng)絡(luò)功能的實(shí)施變 得容易。 Arbor Peakflow 系統(tǒng)平臺(tái) Arbor 解決方案是基于 Peakflow 平臺(tái)，一個(gè)整體網(wǎng)絡(luò)范圍內(nèi)數(shù)據(jù)收集，分析和異常現(xiàn)象檢測(cè)的系統(tǒng)結(jié)構(gòu)。 這個(gè)平臺(tái)能夠從網(wǎng)絡(luò)的邊緣到核心建立正常網(wǎng)絡(luò)行為的模型 , 然后把這個(gè)基線與實(shí)時(shí)流量進(jìn)行比較以進(jìn)行異常現(xiàn)象的檢測(cè) , 而這種功能也是非常獨(dú)特的。該平臺(tái)不僅為 Arbor 的 Peakflow SP 和 DoS 解決方案提供一個(gè)基礎(chǔ)， 還能作為一個(gè)網(wǎng)絡(luò)模型、圖形化和安全保護(hù)的通用平臺(tái)。 網(wǎng)絡(luò)詳細(xì)設(shè)計(jì) 上海 春燕通信設(shè)備有限公司 第 29 頁(yè) 圖： Peakflow 系統(tǒng)平臺(tái) 測(cè)量 Peakflow 對(duì)穿越整個(gè)網(wǎng)絡(luò)的流量 數(shù)據(jù)和路由數(shù)據(jù)進(jìn)行定時(shí)采樣，并且匯集和關(guān)聯(lián)這些數(shù)據(jù)以建立一個(gè)分布式，但卻包含全網(wǎng)的分析角度。利用現(xiàn)有路由器收集信息的協(xié)議如思科的 NetFlow 和 Juniper 的 cFlowd， Peakflow 能夠?qū)Ω咚俚木W(wǎng)絡(luò)鏈路（高達(dá)OC192/STM64）進(jìn)行測(cè)量 , 并不會(huì)成為網(wǎng)絡(luò)的瓶頸或故障點(diǎn)。因此，在無(wú)需進(jìn)行大型的網(wǎng)絡(luò)升級(jí)或重新規(guī)劃的情況下，網(wǎng)絡(luò)管理人員就能夠得到整體網(wǎng)絡(luò)范圍的流量信息和拓?fù)湫畔⒌哪Ｐ汀? 圖形化 使用它的測(cè)量引擎， Peakflow 建立高顆粒度、動(dòng)態(tài)的圖表；根據(jù) AS 號(hào)、路由器、接口和協(xié)議來(lái)顯 示實(shí)時(shí)和歷史的流量和路由信息。由于 Peakflow 靈活的圖形化能力和基于 XML 的 schema，用戶(hù)能夠建立各種各樣的圖表和報(bào)表，包括從詳細(xì)的統(tǒng)計(jì)分析到管理報(bào)表 , 這樣可以使整個(gè)機(jī)構(gòu)的溝通變得容易。 安全保護(hù) 網(wǎng)絡(luò)詳細(xì)設(shè)計(jì) 上海 春燕通信設(shè)備有限公司 第 30 頁(yè) Peakflow 平臺(tái)的異?，F(xiàn)象檢測(cè)引擎不僅能夠?qū)φ`用或異常協(xié)議發(fā)出告警而且能夠發(fā)覺(jué)很多細(xì)微的用法或帶寬上的異常。因此， 網(wǎng)絡(luò)管理人員可以有效知道現(xiàn)有的安全威脅（如 ICMP Flood、 Syn Flood 等）以及全新、從未發(fā)現(xiàn)過(guò)的威脅， 即使攻擊是未知的，它將造成異常的網(wǎng)絡(luò)行為 ,， Peakflow 也具 有檢測(cè)和發(fā)現(xiàn)的能力。在檢測(cè)網(wǎng)絡(luò)威脅以外， Peakflow 平臺(tái)能幫助網(wǎng)絡(luò)故障的檢修，對(duì)流量和路由信息的變化進(jìn)行關(guān)聯(lián) , 準(zhǔn)確指出故障根源并且通知相關(guān)人員補(bǔ)救的方法。 Arbor Peakflow SP Peakflow SP的網(wǎng)絡(luò)范圍內(nèi)的異常檢測(cè)結(jié)構(gòu)可以被用作為用戶(hù)流量的詳細(xì)分析。 尤其 , Peakflow SP 功能強(qiáng)大的分析引擎可以提供四方面的功能，包括數(shù)據(jù)測(cè)量和報(bào)告、對(duì)等評(píng)估、流量工程、資源會(huì)計(jì)統(tǒng)計(jì)。 在數(shù)據(jù)測(cè)量和報(bào)告方面， Peakflow SP 能夠?qū)崿F(xiàn)以下主要功能： ? 監(jiān)視和跟蹤網(wǎng)絡(luò)流量，所 有被監(jiān)視的路由器及關(guān)聯(lián)接口的網(wǎng)絡(luò)拓?fù)渥兓Ｍ瑫r(shí)能精確報(bào)告進(jìn)入，流出，穿越（ Transit），及骨干的網(wǎng)絡(luò)流量。 ? 提供對(duì)每一個(gè)網(wǎng)絡(luò)，每一個(gè)上游（ upstream）提供商 /對(duì)等（ peer），每一個(gè)路由器，以及每一個(gè)端口提供實(shí)時(shí)， 最大的，和平均的流量數(shù)據(jù)，使用戶(hù)能看到網(wǎng)絡(luò)容量的利用率及發(fā)現(xiàn)網(wǎng)絡(luò)通信的“熱點(diǎn)”。 ? 用圖形來(lái)表示每一個(gè)網(wǎng)絡(luò)，每一個(gè)上游（ upstream）提供商 /對(duì)等（ peer），每一個(gè)路由器，以及每一個(gè)端口提供基于時(shí)間的吞吐量， 使用戶(hù)能看到網(wǎng)絡(luò)隨著時(shí)間的變化趨勢(shì)和由于特殊事件引起的流量模式的變化。 系統(tǒng)應(yīng)能產(chǎn)生一年內(nèi)任一時(shí)間段的這些圖表。 ? 監(jiān)視在一個(gè)網(wǎng)絡(luò)上與 AS 起源（ Origin）和 AS 中間的穿越（ Transit）有關(guān)聯(lián)的流量，以每個(gè)路由器、每個(gè)用戶(hù)、每個(gè)被推斷的對(duì)等（ Peer）以及每個(gè)接口為基礎(chǔ)。 ? 提供能夠基于從 BGP 和 Netflow 提供的數(shù)據(jù)生成定制化的流量 /路由報(bào)告。這些報(bào)告提供可配置時(shí)間周期的數(shù)據(jù)和基于特殊條件。 ? 提供一個(gè)自動(dòng)一次或循環(huán)生成報(bào)告的機(jī)制。產(chǎn)品應(yīng)該能夠以多種格式輸出數(shù)據(jù)，包括 CSV、 XML 和 ExcelCSV。 ? 提供生成定制的網(wǎng)絡(luò)資源組“ profiles”，以 CIDR 塊（ block）、 AS regexp、 subAS或者 BGP munity 屬性，并指定什么接口形成這些網(wǎng)絡(luò)資源的邊界。 網(wǎng)絡(luò)詳細(xì)設(shè)計(jì) 上海 春燕通信設(shè)備有限公司 第 31 頁(yè) ? 收集和數(shù)據(jù)庫(kù)化出入這些 profile 的流量和路由信息。 ? 對(duì)特定的對(duì)等（ peer）、路由器、接口或者 profile 從最近的收集周期中提供Netflow 的實(shí)際采樣。 在對(duì)等（ peer）評(píng)估方面， Peakflow SP 可以實(shí)現(xiàn)以下主要功能： ? 示范不同的 peer 的進(jìn)入 /流出速率的不同。 ? 針對(duì)出入每個(gè)網(wǎng)絡(luò)對(duì)等（ peer）的流量顯示 AS 距離特性。 ? 針對(duì)網(wǎng)絡(luò)流量顯示什么是最高的穿越（ Transit）流量， 源和目的 AS。 ? 展示進(jìn)出每個(gè)網(wǎng)絡(luò)對(duì)等（ peer）的協(xié)議和 TCP/UDP 端口號(hào)的數(shù)據(jù)細(xì)目。 ? 跟蹤每個(gè)網(wǎng)絡(luò)對(duì)等（ peer）的 BGP 變化，以決定全部對(duì)等（ peer）的穩(wěn)定性。 ? 提供必需的工具來(lái)評(píng)估 /比較存在的對(duì)等關(guān)系，并決定用于對(duì)等的可行的新的資源。 在流量 /路徑方面， Peakflow SP 能夠?qū)崿F(xiàn)以下主要功能： ? 提供針對(duì)每一個(gè)對(duì)等（ peer），有多少流量經(jīng)過(guò)用戶(hù)網(wǎng)絡(luò)的數(shù)據(jù)。 ? 反映出流經(jīng)用戶(hù)網(wǎng)絡(luò)的數(shù)據(jù)中，主要的源／目的 AS 之間的流量水平．例如，多少流量是從 A1 到 A2，多少流量是從 A2 到 A1。 ? 顯示針對(duì)某一個(gè)對(duì) 等（ peer），有多少經(jīng)過(guò)網(wǎng)絡(luò)的流量， 在數(shù)據(jù)流量上哪些是最主要的源／目的 AS，經(jīng)過(guò)這些 AS 的流量是多少。 ? 顯示針對(duì)某一個(gè)對(duì)等（ peer），有多少經(jīng)過(guò)網(wǎng)絡(luò)的流量， 下一個(gè)跳（ NextHop）地址是什么，以及它們之間有多少流量。 ? 顯示對(duì)于任何一個(gè)給定的邊緣路由器，在數(shù)據(jù)流量上哪些是最主要的源／目的AS，流量的大小。 在資源統(tǒng)計(jì)方面， Peakflow SP 可以實(shí)現(xiàn)以下主要功能： 網(wǎng)絡(luò)詳細(xì)設(shè)計(jì) 上海 春燕通信設(shè)備有限公司 第 32 頁(yè) ? 提供進(jìn) /出每個(gè)跨越本地邊界（ local boundary）和本地 BGP 邊界（ local BGP boundary）的 profile 的 流量