目  录

1 NetStream配置

1.1 NetStream技术应用背景

1.2 NetStream的基本概念

1.2.1 NetStream流定义

1.2.2 NetStream系统组成

1.3 NetStream关键技术

1.3.1 流老化

1.3.2 流输出

1.3.3 输出报文的版本格式

1.4 NetStream采样过滤功能

1.4.1 NetStream采样

1.4.2 NetStream过滤

1.5 NetStream配置任务简介

1.6 开启NetStream功能

1.6.1 开启接口的NetStream功能

1.7 配置NetStream过滤采样功能

1.7.1 配置NetStream过滤功能

1.7.2 配置NetStream采样功能

1.8 配置NetStream统计信息的输出

1.8.1 配置NetStream普通流的统计信息输出

1.8.2 配置NetStream聚合流的统计信息输出

1.9 配置NetStream输出报文的属性

1.9.1 配置NetStream输出报文的格式

1.9.2 配置NetStream输出报文版本9模板的刷新率

1.10 配置NetStream的流老化

1.10.1 流老化的三种机制

1.10.2 配置NetStream的流老化

1.11 NetStream显示和维护

1.12 NetStream典型配置举例

1.12.1 NetStream普通流的统计信息输出配置举例

1.12.2 NetStream聚合流的统计信息输出配置举例

1 NetStream配置

1.1  NetStream技术应用背景

Internet的高速发展为用户提供了更高的带宽，支持的业务和应用日渐增多，传统流量统计如SNMP、端口镜像等，由于统计流量方式不灵活或是需要投资专用服务器成本高等原因，无法满足对网络进行更细致的管理，需要一种新技术来更好的支持网络流量统计。

NetStream技术是一种基于网络流信息的统计技术，可以对网络中的业务流量情况进行统计和分析。在网络的接入层、汇聚层、核心层上，都可以部署NetStream。

NetStream技术的应用有以下几种。

l              计费：NetStream为基于资源（如线路、带宽、时段等）占用情况的计费提供了精细的数据。Internet服务提供商可以利用这些信息来实行灵活的计费策略，如基于时间、带宽、应用、服务质量等。企业客户可以使用这些信息计算部门费用或分配成本，以便有效利用资源。

l              网络规划：NetStream可以为网络管理工具提供关键信息，比如各个AS域之间的网络流量情况，以便优化网络设计和规划，实现以最小的网络运营成本达到最佳的网络性能和可靠性。

l              网络监控：通过在出口部署NetStream，对连接Internet网络的接口进行实时的流量监控，可以分析各种业务占用出口带宽的情况。网管人员可以根据这些信息判断网络的运行情况，尽早发现不合理的网络结构或是网络中的性能瓶颈，方便网管人员规划和分配网络资源。

l              用户监控和分析：通过NetStream技术可以使网络管理者轻松获取用户使用网络和应用资源的详细情况，进而高效地规划以及分配网络资源，并保障网络的安全运行。

1.2  NetStream的基本概念

1.2.1  NetStream流定义

NetStream是一项基于“流”来提供报文统计的技术。它根据IPv4报文的目的IP地址、源IP地址、目的端口号、源端口号、协议号、ToS（Type of Service，服务类型）、输入接口或输出接口来定义流，相同的七元组标识为同一条流。

1.2.2  NetStream系统组成

一个典型的NetStream系统由NDE（NetStream Data Exporter，网络流数据输出）、NSC（NetStream Collector，网络流数据收集）和NDA（NetStream Data Analyzer，网络流数据分析）三部分组成。

l              NDE

NDE负责对网络流进行分析处理，提取符合条件的流进行统计，并将统计信息输出给NSC设备。输出前也可对数据进行一些处理，比如聚合。配置了NetStream功能的设备在NetStream系统中担当NDE角色。

l              NSC

NSC通常为运行于Unix或者Windows上的一个应用程序，负责解析来自NDE的报文，把统计数据收集到数据库中，可供NDA进行解析。NSC可以采集多个NDE设备输出的数据，对数据进行进一步的过滤和聚合。

l              NDA

NDA是一个网络流量分析工具，它从NSC中提取统计数据，进行进一步的加工处理，生成报表，为各种业务提供依据（比如流量计费、网络规划，攻击监测）。通常，NDA具有图形化用户界面，可以使用户方便地获取、显示和分析收集到的数据。

图1-1 NetStream系统中的设备角色

如图1-1所示，NetStream进行数据采集和分析的过程如下：

(1)        配置了NetStream功能的设备（即NDE）把采集到的关于流的详细信息定期发送给NSC；

(2)        信息由NSC初步处理后发送给NDA；

(3)        NDA对数据进行分析，以用于计费、网络规划等应用。

1.3  NetStream关键技术

1.3.1  流老化

NetStream流老化是设备向NetStream服务器输出流统计信息的一种手段。当设备启用NetStream功能后，流统计信息首先会被存储在设备的NetStream缓冲区中。当存储在设备上的NetStream流信息老化后，设备会把缓冲区中的流统计信息通过指定版本的NetStream输出报文发送给NetStream服务器。流老化的三种方式及其配置请参见“1.10  配置NetStream的流老化”。

1.3.2  流输出

1. 普通流输出

普通流输出是指所有流的统计信息都要被统计。在流老化时间超时后，每条流的统计信息都要输出到NetStream服务器。

普通流的优点是：NetStream服务器可以得到每条流的详细统计信息。但是缺点也是很明显的，这种方式增加了网络带宽和设备的CPU占有率，而且为了存储这些信息，需要大量的存储介质空间，而很多情况下，用户并不需要获取所有流的统计信息。

2. 聚合流输出

聚合流输出是指采用聚合流输出功能后，设备对与聚合关键项完全相同的流统计信息进行汇总，从而得到对应的聚合流统计信息，并且将该聚合统计信息发送到相应的接收聚合统计信息的NetStream服务器。

例如，发送四条TCP流，其目的地址相同、源地址不同，源端口、目的端口均为10，选择表1-1中的“协议-端口聚合”方式，该聚合方式的依据为“协议号、源端口、目的端口”。因为这四条TCP流的源端口、目的端口和协议号相同，所以在聚合流统计表项中只会记录一条聚合流统计信息。设备只将聚合统计信息发送给相应的接收聚合统计信息的NetStream服务器。由此可见，聚合的最大好处是可以减少对网络带宽的占用。

在目前的实现中，聚合流输出支持的9种方式如表1-1所示。系统根据选择聚合方式的聚合关键项，将符合对应聚合方式的多条流合并为一条聚合流，对应一条聚合记录。9种聚合方式相互独立，可以同时配置。

表1-1 聚合流输出支持的9种方式

1.3.3  输出报文的版本格式

目前Netstream输出的报文主要有5、8、9三个版本。其中版本9为用户提供了可定义统计元素的模板，用户可根据实际需求设计该模板，使统计信息的输出更为灵活。

l              版本5：根据七元组产生原始的数据流，但报文格式固定，不易扩展。

l              版本8：支持聚合输出格式，但报文格式固定，不易扩展。

l              版本9：基于模板方式，使统计信息的输出更为灵活，可以用来灵活输出各种组合格式的数据。版本9支持对BGP下一跳、MPLS等统计输出。

1.4  NetStream采样过滤功能

1.4.1  NetStream采样

NetStream可以与Sampler（采样器）配合使用。通过设定适当的采样间隔，不但减少了统计的报文数量，收集到的统计信息也可以保证基本正确地反映整个网络流的状况。另外，采样还可以减小对设备转发性能造成的影响。与采样有关的内容请参见“网络管理和监控配置指导”中的“Sampler”。

1.4.2  NetStream过滤

NetStream可以与ACL（Access Control List，访问控制列表）和QoS（Quality of Service）配合使用，NetStream只统计符合ACL和QoS筛选出的特定报文。通过这种方式可以使NetStream对用户关注的数据进行统计，更能满足用户多样的统计要求。

NetStream无论是和ACL或是和QoS配合使用，都是为了先对数据流进行过滤，这样NetStream就可以“只对某些符合条件的流”进行统计。两者方式的区别是：QoS可以更加灵活的指定流，且应用方式多样。

1.5  NetStream配置任务简介

在配置NetStream之前，可根据以下需求选择相应的配置环节：

l              部署NetStream的具体位置，也就是明确需要在网络环境中的哪台设备上开启NetStream功能。

l              如果网络上有各种业务流，可以考虑使用ACL或QoS筛选出需要统计的特定数据。

l              如果网络上的流量很大，可以考虑对数据流进行采样。

l              确定采用哪种输出报文的版本，对NetStream统计输出报文的版本进行设置。

l              根据实际网络情况和需求，对NetStream的流老化时间进行设置。

l              如果统计输出的报文过多，可以配置聚合输出统计信息，避免重复的流输出信息占用网络带宽。

具体的配置步骤可以参考图1-2。

图1-2 NetStream配置步骤流程图

表1-2 NetStream配置任务简介

1.6  开启NetStream功能

1.6.1  开启接口的NetStream功能

表1-3 开启接口的NetStream功能

1.7  配置NetStream过滤采样功能

配置NetStream过滤采样功能前，请先使用ip netstream命令开启NetStream功能。

1.7.1  配置NetStream过滤功能

1. 使用ACL方式进行过滤

表1-4 配置根据指定条件对NetStream过滤功能

2. 使用QoS方式进行过滤

使用netstream filter命令可以对匹配到的具体报文进行NetStream统计。

l              deny：不对报文进行NetStream统计，直接转发。

l              permit：对报文进行NetStream统计。

表1-5 使用QoS方式进行过滤

1.7.2  配置NetStream采样功能

表1-6 配置NetStream的采样功能

1.8  配置NetStream统计信息的输出

在配置NetStream统计信息的输出时，需要对NetStream统计信息输出的源接口和目的地址进行设置，后者为必选配置。

1.8.1  配置NetStream普通流的统计信息输出

表1-7 配置NetStream普通流的统计信息输出

1.8.2  配置NetStream聚合流的统计信息输出

设备支持两种聚合方式：软件聚合和硬件聚合。若未配置硬件流聚合功能，则设备会通过软件对与聚合关键项完全相同的流统计信息进行汇总；配置采用硬件流聚合功能后，设备会通过硬件直接对与聚合关键项完全相同的流统计信息进行汇总，从而得到对应的聚合流统计信息。因此通过配置硬件流聚合功能，能够有效降低流聚合对设备资源的消耗。

表1-8 配置NetStream聚合流的统计信息输出

1.9  配置NetStream输出报文的属性

1.9.1  配置NetStream输出报文的格式

用户可以通过配置NetStream输出报文的格式，进一步明确需要统计的选项。

NetStream流信息中会记录流的源IP地址及其对应的自治系统号；目的IP地址及其对应的自治系统号。设备会根据用户实际配置的自治系统参数来确定记录的自治系统号。如图1-3所示，有一条数据流从AS 20开始，依次经过AS 21至AS 24。如果配置参数peer-as，那么流信息中记录该流的源AS为21，目的AS为23。如果配置参数origin-as，那么流信息中记录该流的源AS为20，目的AS为24。

图1-3 自治系统参数示意图

NetStream统计输出报文还支持BGP下一跳选项。当用户配置版本9的NetStream统计输出报文属性时，用户可以选择是否在流信息中记录BGP下一跳地址。

表1-9 配置NetStream输出报文的格式

1.9.2  配置NetStream输出报文版本9模板的刷新率

由于V9版本是基于模板方式的、可支持自定义格式，所以设备上需要定期刷新模板，并通知NetStream服务器最新的V9模版格式。用户可以根据实际情况，配置版本9模板的刷新率，及时更新模板。

表1-10 配置NetStream输出报文版本9模板的刷新率

1.10  配置NetStream的流老化

1.10.1  流老化的三种机制

NetStream流老化有以下三种机制：

l              按时老化

l              强制老化

l              TCP的FIN和RST报文触发老化（该形式的老化在TCP连接拆除时自动进行）。

1. 按时老化

按时老化分为以下两种方式：

l              不活跃的流老化：从最后一个报文开始，该流在ip netstream timeout inactive指定的时间内没有被采集到（即在设定的inactive时长内统计到的流数目没有增加），那么设备会向NetStream服务器输出该流的统计信息，这种老化称为不活跃的流老化。通过这种老化，可以清除设备上NetStream缓冲区中的无用表项（此时使用display ip netstream cache命令无法看到这条老化的流），充分利用统计表项资源。

l              活跃的流老化：从第一个报文开始，该流在ip netstream timeout active指定的时间内一直能被采集到。活跃时间超过设定的active时长后，需要输出该流的统计信息，这种老化称为活跃的流老化。因为该流实际上还存在，所以在设备上NetStream缓冲区关于该流的统计表项本身仍然存在（此时使用display ip netstream cache可以看到这条流）。这种老化方式是设备为了向NetStream服务器输出活跃流统计信息的一种机制。

2. 强制老化

用户可以执行reset ip netstream statistics命令强制将NetStream缓冲区中所有流老化，并清除NetStream缓冲区信息。

3. TCP的FIN和RST报文触发老化

对于TCP连接，当有标志为FIN或RST的报文发送时，表示一次会话结束。因此当一条已经存在的TCP协议NetStream流中流过一条标志为FIN或RST的报文时，可以立即老化相应的NetStream流。这种方式在设备上缺省开启，不能通过执行命令开启或关闭该老化方式。

1.10.2  配置NetStream的流老化

表1-11 配置NetStream的流老化

1.11  NetStream显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后IPv4 NetStream的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除NetStream的统计信息。

表1-12 NetStream显示和维护

1.12  NetStream典型配置举例

1.12.1  NetStream普通流的统计信息输出配置举例

1. 组网需求

如图1-4所示，在Switch A上配置NetStream，对接收的报文进行统计，并将NetStream普通流的统计信息输出到NetStream服务器。NetStream服务器的IP地址为12.110.2.2/16，UDP端口号为5000。

2. 组网图

图1-4 NetStream普通流的统计信息输出配置组网图

3. 配置步骤

# 在端口GigabitEthernet1/0/1上启动NetStream入统计。

<SwitchA> system-view

[SwitchA] interface GigabitEthernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] ip netstream inbound

[SwitchA-GigabitEthernet1/0/1] quit

# 在VLAN接口2000上配置IP地址。

[SwitchA] vlan 2000

[SwitchA] interface vlan-interface 2000

[SwitchA-Vlan-interface2000] ip address 12.110.2.1 255.255.0.0

[SwitchA-Vlan-interface2000] quit

[SwitchA] ip netstream export source interface Vlan-interface 2000

# 配置NetStream普通流统计信息输出的目的地址。

[SwitchA] ip netstream export host 12.110.2.2 5000

1.12.2  NetStream聚合流的统计信息输出配置举例

1. 组网需求

在Switch A上配置NetStream，具体要求为：

l              普通流的统计信息使用版本5格式输出到NetStream服务器。NetStream服务器的IP地址为4.1.1.1/16，UDP端口号为5000；

l              4种聚合流（protocol-port、source-prefix、destination-prefix和prefix）的统计信息使用版本8格式分别输出到该NetStream服务器的3000、4000、6000和7000端口。

2. 组网图

图1-5 NetStream聚合流的统计信息输出配置组网图

3. 配置步骤

# 在出、入方向启用NetStream统计功能。

<SwitchA> system-view

[SwitchA] interface GigabitEthernet 1/0/1  

[SwitchA-GigabitEthernet1/0/1] ip netstream inbound

[SwitchA-GigabitEthernet1/0/1] ip netstream outbound

[SwitchA-GigabitEthernet1/0/1] quit

# 配置普通流统计信息输出的目的地址。

[SwitchA] ip netstream export host 4.1.1.1 5000

# 配置协议－端口聚合模式，以及该聚合模式聚合流统计信息输出的目的地址。

[SwitchA] ip netstream aggregation protocol-port

[SwitchA-ns-aggregation-protport] enable

[SwitchA-ns-aggregation-protport] ip netstream export host 4.1.1.1 3000

[SwitchA-ns-aggregation-protport] quit

# 配置源前缀聚合模式，以及该聚合模式聚合流统计信息输出的目的地址。

[SwitchA] ip netstream aggregation source-prefix

[SwitchA-ns-aggregation-srcpre] enable

[SwitchA-ns-aggregation-srcpre] ip netstream export host 4.1.1.1 4000

[SwitchA-ns-aggregation-srcpre] quit

# 配置目的前缀聚合模式，以及该聚合模式聚合流统计信息输出的目的地址。

[SwitchA] ip netstream aggregation destination-prefix

[SwitchA-ns-aggregation-dstpre] enable

[SwitchA-ns-aggregation-dstpre] ip netstream export host 4.1.1.1 6000

[SwitchA-ns-aggregation-dstpre] quit

# 配置前缀聚合模式，以及该聚合模式聚合流统计信息输出的目的地址。

[SwitchA] ip netstream aggregation prefix

[SwitchA-ns-aggregation-prefix] enable

[SwitchA-ns-aggregation-prefix] ip netstream export host 4.1.1.1 7000

[SwitchA-ns-aggregation-prefix] quit