暢通無阻的網路性能是許多 NetOps 活動的核心目標，其中之一是通過使用資料包資料和網路流來解決網路性能問題，當聚合和分析流和資料包資料時，網路洞察力可以引導團隊找到更好的解決方案，對于每次性能下降時都依賴重新啟動系統的小型企業，流量洞察會引導他們了解網路使用情況，然后找到網路問題的根本原因，擁有關鍵業務服務的大型企業可能已經在利用流和資料包資料來監控他們的環境，即使只使用基本的資料包分析工具，

流和資料包資料是收集線索以修復性能問題的基礎資料源（查看事件、日志和系統日志以獲取更多來源），為了從流經網路的海量資料包資料中發掘線索，高級網路性能監控和診斷 (NPMD) 軟體會收集重要的網路指標和資料，對其進行分析，然后將組織內部網路活動的準確表示可視化：內部、虛擬和云環境，這種程度的網路可見性對于 IT 團隊解決網路性能和安全問題至關重要，

01 什么是流和資料包

網路流量監控的思想本質上是對通過路由器的所有網路流量進行統計、記錄和分析，實際上，創建網路使用情況的匯總模型，就像快速通行收費站以電子方式計算汽車和記錄使用情況一樣，流量監控也是如此，

同時，深度資料包檢測 (DPI)是檢查每個資料包的有效負載內容的程序，以確定是通過拒絕該資料包還是允許其通過網路來對該資料包采取行動，DPI 的第三個選項是被動地收集有關哪些流量正在穿越網路的資訊，

資料包捕獲存盤網路資料包的鏡像副本，并使用取證搜索和過濾，當出現新的性能、安全性或取證事件時，可以稍后在特定時間范圍內檢查存盤的鏡像副本，

為了實時了解網路流動，主要的實際挑戰是必要的計算和存盤容量的限制，以跟上要處理的網路資料的速度和數量，這是因為網路流量的資料包捕獲副本會消耗大量存盤空間，并且通常僅在幾周甚至幾天后才會被清除，以便為更多副本創造空間，這意味著，如果實施了資料包捕獲、深度資料包檢查和流量監控，那么 NetOps 和 SecOps 團隊將擁有最相關的資料來解決當前的事件，離事件時間越遠，其根源的可能性就越大- 導致線索消失（通過復制資料包捕獲副本修復的情況），

資料包包含線索，整個檔案不會在整個網路中以一份形式傳輸，相反，網路訊息被打包，然后通過互聯網和其他連接路由，在目的地重新組裝，每個資料包通常被組織成三個段，無論其大小如何，即header、payload和footer，當資料包流經網路路由器時，它們的頭部被讀取并基于 5-7 個資料包頭部屬性進行“指紋識別”，

如果路由器無法識別流經它的資料包的指紋，則將在流快取中創建具有該指紋的新流條目，該條目將包含一個 5 元組，即上面列出的主要資料包屬性，以及用于計算資料包流量及其位元組數的變數，每次與指紋匹配的資料包通過時，相應的流條目計數器都會增加，從而有效地創建一個總結該資料包流的記錄，然后將快取的流資料通過網路周期性地輸出到流收集器和流分析器，將來自各個路由器的不同的輸出流資料匯總在一起，進行可視化分析，

今天的大多數路由器都具有某種品牌的 xFlow 匯出功能，允許將流資料從路由器發送到收集器和分析器，Netflow 是事實上的行業流協議，起源于 Cisco 設備并以該協議為特色，其他流行的協議包括 IPFIX、J-Flow 和 sFlow，

僅從上面的那幾個資料包屬性就可以理解大部分網路行為，

• 源地址和目標地址告訴誰是流量的發起者和接收者

• 埠和服務等級說明正在使用的應用程式及其流量優先級

• 設備介面告訴設備如何利用流量

• 通過統計資料包，可以確定總的流量流量

• 時間戳可用于及時放置流并確定其速率

• 應用程式和網路延遲提供有關每個事務所需時間的度量

02 如何衡量

可以在網路性能儀表板上可視化流量——說明了使用 NetFlow 資料的端到端網路流量可視化，

如下圖所示，流和資料包資料是單個源資料包的互補方面——通常被稱為網路監控中的最終真實來源，流通過總結在端點之間傳輸的資料包來顯示Top可見性，而資料包捕獲和 DPI 提供了對資料包內部內容的更深入的詳細資訊，闡明了實際通過網路的資料，將兩者結合為 NetOps 和 SecOps 團隊提供了巨大的價值，但是，每個團隊都有其局限性和缺點，

因為流資料是總結而不是深入細節，所以流資料在診斷和排除配置問題或錯誤條件方面受到限制，他們擅長的是通過應用程式、協議、域、埠以及源和目標 IP 提供對流量的洞察，這意味著大量流量的帶寬問題突然被分解為一個一個流，這可以快速有效地突出帶寬占用，此外，流帶寬表示伴隨著哪些設備正在運行這些 hogs，以及是應用程式還是設備本身在進行 hogging，這種級別的可見性對于根據網路和用戶行為制定使用策略非常有用，

通過資料包捕獲存盤的網路流量的鏡像副本，可以重新創建歷史流量，并且可以在資料中發現詳細的線索，以解決隱藏在細節中的更具體的技術問題，例如錯誤配置的證據、外部入侵或硬體故障，

此外，通過深度資料包檢查，資料包會根據一組由 NetOps 和/或 SecOps 團隊創建的定制規則進行判斷（過濾），通過將某些流量列入白名單或黑名單，例如僅允許關鍵協議，或基于來自先前已知為威脅的資料庫的匹配簽名拒絕資料包模式，DPI 可用于入侵檢測系統 (IDS) 和入侵防御系統(IPS) 以防止蠕蟲、病毒和間諜軟體進入網路，并在出現網路問題時提醒團隊，

03 使用監控軟體解決網路性能問題

對網路性能問題進行故障排除是一個找出相關資料線索的程序，這些線索可以導致對潛在問題的合理評估，有時問題很簡單，例如，路由器可能會變得擁塞，但問題不一定是設備故障，而是了解網路流量使用情況可能會導致重新配置修復，將業務關鍵流量優先于個人使用流量，從而導致過度消耗帶寬資源，如果監控網路流量，可以很快得出這個結論，如果監控軟體能夠清楚地可視化流量或生成警報，則可以更快地得出結論，

底層網路問題越復雜，就越需要協議和資料包分析方面的偵查和專業知識，通過使用 NPMD 和網路檢測和回應 (NDR) 軟體，找到常見問題的答案相當容易，只需深入到可視化的問題區域，讓軟體嗅出潛在問題并提供反饋，有些還可能建議潛在問題修復，其他人可能會為您提供詳細的圖表和表格，以進行您自己的評估，流圖中的橙色圓圈顯示了組織整體網路中的擁塞部分，單擊橙色圓圈將深入到故障區域，

可能有幾個罪魁禍首就會導致網路滯后，例如，網路擁塞的根本原因可能來自網路設備故障或配置錯誤、內部帶寬使用過多或外部 DDoS 攻擊，如果沒有分析流量和資料包資料的綜合工具，嘗試和錯誤可能是網路運營商唯一的替代故障排除方法，

利用流和資料包資料的網路性能監控軟體共有的有用功能可以為網路管理員提供有關解決其網路性能問題的線索，這四個提供了對網路的非凡洞察力：

• 拓撲視圖對于理解底層物理網路非常重要，因為當今的網路更加復雜和動態，融合了不同的技術，如廣域網、SD-WAN、WiFi、遠程站點、資料中心和多云服務，因此尤其難以排除故障，

• 流路徑分析功能提供設備、介面、應用程式、VPN 和用戶的端到端可見性，通過關聯躍點和流量，監控軟體可以將網路和應用程式性能疊加到拓撲視圖上，綜合起來，這些模型將性能與底層物理網路相關聯，強調網路基礎設施中的弱點，

• 應用程式監控通過了解跨多個網段、域和結構的應用程式層的資料包資料來識別應用程式使用情況，這不僅有助于了解網路性能，而且可以直接解決用戶體驗問題并減少負面業務影響，

• 入侵檢測和預防監控對于檢測可能發生的事件的跡象并試圖阻止它們很有用，在更高級的網路中發現，作為預防網路性能下降的主動回應，IDS 和 IDP 系統依靠讀取資料包并應用多種檢測技術、基于簽名的方法、基于例外的方法和狀態協議分析來檢測問題即時的，

04 利用流和資料包進行故障排除

• 拓撲視圖

• 識別需要升級或更換的基礎設施組件

• 使用自動設備發現維護實時全面的設備清單

• 主動識別阻塞點

• 比較不同的性能指標

• 流路徑分析

• 根據 IP 地址跨端點識別可能的路由、躍點和網路延遲影響

• 識別由負載平衡引起的問題

• 識別由路由引起的問題

• 應用監控

• 建立可用于監控例外流量水平的性能基線

• 發現有關如何在應用程式級別使用網路的最深刻見解

• 識別允許使用的策略弱點

• 入侵檢測和防御監控

• 根據其簽名（基于簽名）識別已知的攻擊或攻擊型別

• 識別與網路行為規范的偏差（基于例外）

• 識別與協議使用規范的偏差（狀態協議分析）

這表明從流和資料包資料推斷的端到端可見性有助于在最關鍵級別進行網路故障排除，并為進一步監控跟蹤應用程式性能的集成以及對業務目標產生重大影響的復雜用戶體驗奠定基礎，

05 使用LiveNX進行網路故障排除

LiveNX基于流（即 Netflow、IPFIX、SFlow、JFlow 等）,SNMP和資料包等多種資料源，通過來自幾乎任何地方的資料——WAN、SD-WAN、WiFi、遠程站點、資料中心，查看并整個網路，關聯多種資料源，實作端到端的可視化分析，輕松地從警報和背景關系資料下鉆到 Flow 性能資料，并進一步深入到目標資料包級分析，以實作全面的故障解決作業流程 - 實作加速網路、減少延遲抖動并減少 MTTR，LiveNX 提供從多個事件聚合的特定的警報，從而僅顯示需要立即關注的警報，此外，LiveNX Insight 模塊利用機器學習進行主動例外檢測和路徑更改通知，LiveNX 可幫助您以前所未有的方式排除網路故障：

• 用于應用程式故障排除的可視化分析

• 綜合儀表板和報告

• 主動警報和例外檢測

• 端到端的可視化分析

• 從Flow到資料包取證分析

LiveNX

虹科提供具有端到端監控分析能力的解決方案LIveNX和資料包捕獲分析設備LiveWire/LiveCapture，兩者既可以單獨使用也可以集成到一起實作更強大的分析能力，

• 網路性能監控

• 應用性能監控

• 端到端可視化

• flow到資料包詳細分析

• 高速全流量捕獲分析

• 上百種詳細報告

• 高級例外檢測和預測分析