前言：本站為你精心整理了校園網(wǎng)絡(luò)流量管理經(jīng)驗思索范文，希望能為你的創(chuàng)作提供參考價值，我們的客服老師可以幫助你提供個性化的參考范文，歡迎咨詢。

摘要：在我們精心打造的校園網(wǎng)中，如果網(wǎng)絡(luò)突然緩慢，在重要數(shù)據(jù)往來的教學(xué)時間段，留給系統(tǒng)管理員的響應(yīng)時間只有寶貴的十幾分鐘、甚至幾分鐘。而且，蠕蟲病毒對網(wǎng)絡(luò)速度的影響越來越嚴重，例如“網(wǎng)絡(luò)天空”等郵件蠕蟲病毒，它們導(dǎo)致被感染的用戶只要一連上網(wǎng)就不停地往外發(fā)郵件，病毒選擇用戶個人電腦中的隨機文檔附加在用戶的通訊簿上，通過隨機地址進行郵件發(fā)送。成百上千的這種垃圾郵件有的排著隊往外發(fā)送，有的又成批地被退回來堆在服務(wù)器上。這都造成個教育網(wǎng)骨干線路出現(xiàn)明顯擁塞，甚至在蠕蟲泛濫的局域網(wǎng)中，癱瘓的事件屢有發(fā)生。

進行流量監(jiān)控和流量分析是整個網(wǎng)絡(luò)合理化的重要環(huán)節(jié)，它能在最短的時間內(nèi)發(fā)現(xiàn)安全威脅，在第一時間進行分析，通過流量分析來確定攻擊，然后發(fā)出預(yù)警，快速采取措施。如何在核心的網(wǎng)絡(luò)設(shè)備上監(jiān)控流量、限制異常流量就成了大家關(guān)注的技術(shù)問題。

監(jiān)控對象的制定

連接性

連接性也稱可用性、連通性或者可達性，學(xué)校需要高效率的帶寬服務(wù)，更嚴格的說應(yīng)該是網(wǎng)絡(luò)服務(wù)的基本能力或?qū)傩?。比如遠程教學(xué)中需要寬帶連接和視頻點播等服務(wù)，這些都必須以網(wǎng)絡(luò)的連接性能為基礎(chǔ)和保障。

丟包率

丟包率是指丟失的IP包與所有的IP包的比值。許多因素會導(dǎo)致數(shù)據(jù)包在網(wǎng)絡(luò)上傳輸時被丟棄，例如數(shù)據(jù)包的大小以及數(shù)據(jù)發(fā)送時鏈路的擁塞狀況等。不同業(yè)務(wù)對丟包的敏感性不同，在多媒體教學(xué)中，丟包是導(dǎo)致圖像質(zhì)量降低和斷幀的根本原因。

時延

時延定義了一個IP包穿越一個或多個網(wǎng)段所經(jīng)歷的時間。時延由固定時延和可變時延兩部分組成。固定時延基本不變，由傳播時延和傳輸時延構(gòu)成；可變時延由中間路由器處理時延和排隊等待時延兩部分構(gòu)成。

帶寬分析

帶寬一般分為瓶頸帶寬和可用帶寬。瓶頸帶寬是指當(dāng)一條路徑（通路）中沒有其它背景流量時，網(wǎng)絡(luò)能夠提供的最大的吞吐量。可用帶寬是指在網(wǎng)絡(luò)路徑（通路）存在背景流量的情況下，能夠提供給某個業(yè)務(wù)的最大吞吐量。

協(xié)議分析

對網(wǎng)絡(luò)流量進行協(xié)議劃分，如：Web瀏覽（HTTP）、電子郵件（POP3、SMTP、WEBMAIL、文件下載(FTP)、即時聊天（MSN、QQ等）、流媒體（MMS、RTSP）等。針對不同的網(wǎng)絡(luò)應(yīng)用協(xié)議進行流量監(jiān)控和分析，如果某一個協(xié)議在一個時間段內(nèi)出現(xiàn)超常占用可用帶寬的情況，就有可能是攻擊流量或蠕蟲病毒出現(xiàn)。

應(yīng)用網(wǎng)段流量分析

大多數(shù)學(xué)校都是將不同的業(yè)務(wù)應(yīng)用通過VLAN來進行邏輯隔離的，所以可以通過流量分析系統(tǒng)針對不同VLAN來進行網(wǎng)絡(luò)流量監(jiān)控。

網(wǎng)絡(luò)設(shè)備的流量管理

理解CBAC

很多中小學(xué)校受到資金的限制，網(wǎng)管員大多采用了路由器中CiscoIOS防火墻特性集，基于上下文的訪問控制(CBAC)是最顯著的新增特性。CBAC技術(shù)的重要性在于:使管理員能夠?qū)OS防火墻配置為一個智能化、集成化的單框解決方案的一部分。CBAC通過嚴格審查源和目的地址，增強了使用眾所周知端口的TCP和UDP應(yīng)用程序的安全。CBAC通過檢查整個(數(shù)據(jù))包了解應(yīng)用程序狀態(tài)信息，給ACL功能增加了檢查智能。CBAC利用這種信息創(chuàng)建一個暫時的、會話（Session）特定的ACL入口，從而允許回返通信進入可靠網(wǎng)絡(luò)。這種暫時的ACL有效地在防火墻中打開了一個大門。當(dāng)一個會話結(jié)束時，ACL入口被刪除，大門關(guān)閉。CBAC在應(yīng)用層審查包和維護TCP和UDP會話信息，這給CBAC提供了檢測和阻止某種網(wǎng)絡(luò)攻擊的能力，比如SYNflooding。CBAC是針對每個接口進行配置的，可以被用于控制源于防火墻另一方的通信(雙向);但是，大多數(shù)客戶將CBAC用于僅源于一方的通信(單向)。

CBAC可根據(jù)需要打開連接，并監(jiān)視回返通信流量，但CBAC對于流量審核檢查方面并不完美。比如它只檢查規(guī)定的內(nèi)容，對于更多的流量類型就必須自己增加很多語句。

理解NBAR

網(wǎng)絡(luò)上利用NBAR管理P2P流量的文章相當(dāng)多，讀者可以在操作過程中可以參閱模仿，但很多人對于NBAR到底是什么？卻一直沒有搞清楚?；诰W(wǎng)絡(luò)的應(yīng)用識別（Network-BasedApplicationRecognition,NBAR），是在CiscoIOS12.0(5)XE2中引入的，在12.3(4)T中得到了加強。

NBAR可以根據(jù)OSI參考模型的第3層到第7層信息來對流量進行分類，設(shè)置NBAR第一個步就是建立審查的流量分類。NBAR檢查可以幫助我們做很多事情，如應(yīng)用類型、連接的具體地址、連接中的數(shù)據(jù)和數(shù)據(jù)包的長度。基于匹配標(biāo)準(zhǔn)，NBAR將匹配的流量放進特定的類（或組）中。在建立了分類規(guī)則之后，建立用來標(biāo)識流量策略，對于IP流量，我們使用IP優(yōu)先級來對流量進行分組（類）。IP優(yōu)先級標(biāo)準(zhǔn)（和DSCP）使用IP包頭中的TOS域中的位來分類流量。當(dāng)流量進入路由器時就執(zhí)行這兩步，然后當(dāng)流量離開路由器上的一個特定的外出接口時，定義對被標(biāo)記的流量將采取什么操作。我們在流量優(yōu)先級控制上通常使用QOS，這將影響數(shù)據(jù)包被發(fā)送接口之前，首先需要排成隊列。而NBAR可以為這些流量定義其他策略，限制這們的帶寬或甚至丟棄這些流量。

理解分析模塊NAM

NAM（NetworkAnalysisModule）是一個集成的通信流監(jiān)視解決方案，可以提供全面的RMONI、RMONII、NetFlow和VLAN監(jiān)視、與協(xié)議相關(guān)的故障診斷以及趨勢分析功能。由于這個模塊一般在高端交換機上，所有在中小學(xué)中比較少見，而區(qū)縣級的教育信息中心多采用這種流量管理方案。

NAM的一個關(guān)鍵功能是它能夠同時并實時地監(jiān)控多個交換機端口或VLAN，并能夠為每一個數(shù)據(jù)源提供獨立的RMONI/RMONII統(tǒng)計數(shù)據(jù)。例如，一個需要監(jiān)視三個以太網(wǎng)客戶機端口的網(wǎng)絡(luò)管理員可以在一個端口上運行分組捕獲應(yīng)用；在另一個端口上運行IP主機和會話應(yīng)用；而在第三個端口上運行協(xié)議分發(fā)和應(yīng)用層矩陣表應(yīng)用。

NAM是對交換環(huán)境進行監(jiān)視或故障診斷的理想選擇，通過加入像NAM這樣的RMONI/RMONII技術(shù)，可以使Catalyst5000/6500系列交換機上的每個以太網(wǎng)、快速以太網(wǎng)和千兆位以太網(wǎng)交換機端口的mini-RMON統(tǒng)計功能得到加強，進而提供全部7個層次的監(jiān)視和故障診斷功能。更詳細的信息可以參考：

用于HTTP流量的NBAR擴展檢查，通過使用HTTP特定的條件識別除了眾所周知的TCP端口80之外的端口上的HTTP流量。

NBAR用戶定義的定制應(yīng)用程序分類，使用戶可以指定自己的匹配條件來識別端口范圍以及特定端口上基于TCP或UDP的應(yīng)用程序。

其他流量管理的做法

在校園網(wǎng)出口管理中，應(yīng)分析不同的應(yīng)用占用不同的帶寬，重要的應(yīng)用是否得到了最佳的帶寬？它占的比例是多少？隊列設(shè)置和網(wǎng)絡(luò)優(yōu)化是否生效？通用的做法使用MRTG等網(wǎng)絡(luò)流量分析軟件，并以圖形HTML文檔方式顯示給用戶，以非常直觀的形式顯示流量負載。我常使用的一個叫NTOP的軟件，個人感覺比MRTG更直觀一些，甚至可以列出每個節(jié)點計算機的網(wǎng)絡(luò)帶寬利用率。它可以通過分析網(wǎng)絡(luò)流量來確定網(wǎng)絡(luò)上存在的各種問題；也可以用來判斷是否有黑客正在攻擊網(wǎng)絡(luò)系統(tǒng)；還可以很方便地顯示出特定的網(wǎng)絡(luò)協(xié)議、占用大量帶寬的主機、各次通信的目標(biāo)主機、數(shù)據(jù)包的發(fā)送時間、傳遞數(shù)據(jù)包的延時等詳細信息。通過了解這些信息，網(wǎng)管員可以對故障做出及時的響應(yīng)，對網(wǎng)絡(luò)進行相應(yīng)的優(yōu)化調(diào)整，以保證網(wǎng)絡(luò)運行的效率和安全。

面對異常流量，我們應(yīng)當(dāng)建立一套分析系統(tǒng)，支持異常流量發(fā)現(xiàn)和報警，能夠通過對一個時間段內(nèi)歷史數(shù)據(jù)的自動學(xué)習(xí)，獲取包括總體網(wǎng)絡(luò)流量水平、流量波動、流量跳變等在內(nèi)的多種網(wǎng)絡(luò)流量測度，并自動建立當(dāng)前流量的置信度區(qū)間作為流量異常監(jiān)測的基礎(chǔ)。如果自行建立主動型的網(wǎng)絡(luò)分析系統(tǒng)一般包括：測量節(jié)點、中心服務(wù)器、數(shù)據(jù)庫和分析服務(wù)器。但對于學(xué)校來說難度較大。主動分析是借助產(chǎn)品化和集成程度較高的測量工具，有目的對生產(chǎn)網(wǎng)絡(luò)注入監(jiān)控點，并根據(jù)測量數(shù)據(jù)流的傳送情況來分析網(wǎng)絡(luò)的性能。雖然這些監(jiān)控點也會占用帶寬，但和P2P下載所占用的可用帶寬是微不足道的。

水廠通過調(diào)節(jié)水網(wǎng)的各個閥門將飲用水送進千家萬戶，必要時只要打開或關(guān)閉其中一、兩個就能達到“開源”或“節(jié)流”的目的，控制起來隨心所欲。推而廣之，如果能對校園中的數(shù)據(jù)流量進行“閥門式”控制，就能有效提高寬帶網(wǎng)絡(luò)的利用率。

某些管理軟件可以做到“閥門”作用，比如：SiteViewTC，它通過主動動態(tài)調(diào)控內(nèi)外雙向數(shù)據(jù)流量，能有效分配有限的帶寬資源，做到了彈性管理。SiteViewTC可有效控制每個IP地址流量，從而限制P2P、網(wǎng)絡(luò)游戲、網(wǎng)絡(luò)電視等應(yīng)用對寬帶資源的占用，保證關(guān)鍵業(yè)務(wù)的正常進行。有興趣的老師可以到他們的網(wǎng)站上申請一個試用版嘗試一下。