校園網流量管理經驗談
在我們精心打造的校園網中，如果網絡突然緩慢，在重要數據往來的教學時間段，留給系統管理員的響應時間只有寶貴的十幾分鐘、甚至幾分鐘。而且，蠕蟲病毒對網絡速度的影響越來越嚴重，例如“網絡天空”等郵件蠕蟲病毒，它們導致被感染的用戶只要一連上網就不停地往外發郵件，病毒選擇用戶個人電腦中的隨機文檔附加在用戶的通訊簿上，通過隨機地址進行郵件發送。成百上千的這種垃圾郵件有的排著隊往外發送，有的又成批地被退回來堆在服務器上。這都造成個教育網骨干線路出現明顯擁塞，甚至在蠕蟲泛濫的局域網中，癱瘓的事件屢有發生。
進行流量監控和流量分析是整個網絡合理化的重要環節，它能在最短的時間內發現安全威脅，在第一時間進行分析，通過流量分析來確定攻擊，然后發出預警，快速采取措施。如何在核心的網絡設備上監控流量、限制異常流量就成了大家關注的技術問題。
監控對象的制定
連接性
連接性也稱可用性、連通性或者可達性，學校需要高效率的帶寬服務，更嚴格的說應該是網絡服務的基本能力或屬性。比如遠程教學中需要寬帶連接和視頻點播等服務，這些都必須以網絡的連接性能為基礎和保障。
丟包率
丟包率是指丟失的IP 包與所有的IP 包的比值。許多因素會導致數據包在網絡上傳輸時被丟棄，例如數據包的大小以及數據發送時鏈路的擁塞狀況等。不同業務對丟包的敏感性不同，在多媒體教學中，丟包是導致圖像質量降低和斷幀的根本原因。
時延
時延定義了一個IP 包穿越一個或多個網段所經歷的時間。時延由固定時延和可變時延兩部分組成。固定時延基本不變，由傳播時延和傳輸時延構成;可變時延由中間路由器處理時延和排隊等待時延兩部分構成。
帶寬分析
帶寬一般分為瓶頸帶寬和可用帶寬。瓶頸帶寬是指當一條路徑(通路)中沒有其它背景流量時，網絡能夠提供的最大的吞吐量。可用帶寬是指在網絡路徑(通路)存在背景流量的情況下，能夠提供給某個業務的最大吞吐量。
協議分析
對網絡流量進行協議劃分，如:Web瀏覽(HTTP)、電子郵件(POP3、SMTP、WEB MAIL、文件下載(FTP)、即時聊天(MSN、QQ等)、流媒體(MMS、RTSP)等。針對不同的網絡應用協議進行流量監控和分析，如果某一個協議在一個時間段內出現超常占用可用帶寬的情況，就有可能是攻擊流量或蠕蟲病毒出現。
應用網段流量分析
大多數學校都是將不同的業務應用通過VLAN來進行邏輯隔離的，所以可以通過流量分析系統針對不同VLAN來進行網絡流量監控。
網絡設備的流量管理
理解CBAC
很多中小學校受到資金的限制，網管員大多采用了路由器中Cisco IOS防火墻特性集，基于上下文的訪問控制(CBAC)是最顯著的新增特性。CBAC技術的重要性在于: 使管理員能夠將IOS防火墻配置為一個智能化、集成化的單框解決方案的一部分。CBAC通過嚴格審查源和目的地址，增強了使用眾所周知端口的TCP和UDP應用程序的安全。CBAC通過檢查整個(數據)包了解應用程序狀態信息，給ACL功能增加了檢查智能。CBAC利用這種信息創建一個暫時的、會話(Session)特定的ACL入口，從而允許回返通信進入可靠網絡。這種暫時的ACL有效地在防火墻中打開了一個大門。當一個會話結束時，ACL入口被刪除，大門關閉。CBAC在應用層審查包和維護TCP和UDP會話信息，這給CBAC提供了檢測和阻止某種網絡攻擊的能力，比如SYN flooding。CBAC是針對每個接口進行配置的，可以被用于控制源于防火墻另一方的通信(雙向); 但是，大多數客戶將CBAC用于僅源于一方的通信(單向)。
CBAC可根據需要打開連接，并監視回返通信流量，但CBAC對于流量審核檢查方面并不完美。比如它只檢查規定的內容，對于更多的流量類型就必須自己增加很多語句。#p#
理解NBAR
網絡上利用NBAR管理P2P流量的文章相當多，讀者可以在操作過程中可以參閱模仿，但很多人對于NBAR到底是什么?卻一直沒有搞清楚。基于網絡的應用識別(Network-Based Application Recognition ,NBAR)，是在Cisco IOS 12.0(5)XE2中引入的，在12.3(4)T中得到了加強。
NBAR可以根據OSI參考模型的第3層到第7層信息來對流量進行分類，設置NBAR第一個步就是建立審查的流量分類。NBAR檢查可以幫助我們做很多事情，如應用類型、連接的具體地址、連接中的數據和數據包的長度。基于匹配標準，NBAR將匹配的流量放進特定的類(或組)中。在建立了分類規則之后，建立用來標識流量策略，對于IP流量，我們使用IP優先級來對流量進行分組(類)。IP優先級標準(和DSCP)使用IP包頭中的TOS域中的位來分類流量。當流量進入路由器時就執行這兩步，然后當流量離開路由器上的一個特定的外出接口時，定義對被標記的流量將采取什么操作。我們在流量優先級控制上通常使用QOS，這將影響數據包被發送接口之前，首先需要排成隊列。而NBAR可以為這些流量定義其他策略，限制這們的帶寬或甚至丟棄這些流量。
理解分析模塊NAM
NAM(Network Analysis Module)是一個集成的通信流監視解決方案，可以提供全面的RMON I、RMON II、NetFlow和VLAN監視、與協議相關的故障診斷以及趨勢分析功能。由于這個模塊一般在高端交換機上，所有在中小學中比較少見，而區縣級的教育信息中心多采用這種流量管理方案。
NAM的一個關鍵功能是它能夠同時并實時地監控多個交換機端口或VLAN，并能夠為每一個數據源提供獨立的RMON I/RMON II統計數據。例如，一個需要監視三個以太網客戶機端口的網絡管理員可以在一個端口上運行分組捕獲應用;在另一個端口上運行IP主機和會話應用;而在第三個端口上運行協議分發和應用層矩陣表應用。
NAM是對交換環境進行監視或故障診斷的理想選擇，通過加入像NAM這樣的RMON I/RMON II技術，可以使Catalyst 5000/6500系列交換機上的每個以太網、快速以太網和千兆位以太網交換機端口的mini-RMON統計功能得到加強，進而提供全部7個層次的監視和故障診斷功能。更詳細的信息可以參考:
◆用于 HTTP 流量的 NBAR 擴展檢查，通過使用 HTTP 特定的條件識別除了眾所周知的 TCP 端口 80 之外的端口上的 HTTP 流量
◆NBAR 用戶定義的定制應用程序分類，使用戶可以指定自己的匹配條件來識別端口范圍以及特定端口上基于 TCP 或 UDP 的應用程序
其他流量管理的做法
在校園網出口管理中，應分析不同的應用占用不同的帶寬，重要的應用是否得到了最佳的帶寬?它占的比例是多少?隊列設置和網絡優化是否生效?通用的做法使用MRTG等網絡流量分析軟件，并以圖形HTML 文檔方式顯示給用戶，以非常直觀的形式顯示流量負載。我常使用的一個叫NTOP的軟件，個人感覺比MRTG更直觀一些，甚至可以列出每個節點計算機的網絡帶寬利用率。它可以通過分析網絡流量來確定網絡上存在的各種問題;也可以用來判斷是否有黑客正在攻擊網絡系統;還可以很方便地顯示出特定的網絡協議、占用大量帶寬的主機、各次通信的目標主機、數據包的發送時間、傳遞數據包的延時等詳細信息。通過了解這些信息，網管員可以對故障做出及時的響應，對網絡進行相應的優化調整，以保證網絡運行的效率和安全。
面對異常流量，我們應當建立一套分析系統，支持異常流量發現和報警，能夠通過對一個時間段內歷史數據的自動學習，獲取包括總體網絡流量水平、流量波動、流量跳變等在內的多種網絡流量測度，并自動建立當前流量的置信度區間作為流量異常監測的基礎。如果自行建立主動型的網絡分析系統一般包括:測量節點、中心服務器、數據庫和分析服務器。但對于學校來說難度較大。主動分析是借助產品化和集成程度較高的測量工具，有目的對生產網絡注入監控點，并根據測量數據流的傳送情況來分析網絡的性能。雖然這些監控點也會占用帶寬，但和P2P下載所占用的可用帶寬是微不足道的。
水廠通過調節水網的各個閥門將飲用水送進千家萬戶，必要時只要打開或關閉其中一、兩個就能達到“開源”或“節流”的目的，控制起來隨心所欲。推而廣之，如果能對校園中的數據流量進行“閥門式”控制，就能有效提高寬帶網絡的利用率。
某些管理軟件可以做到 “閥門”作用，比如:SiteViewTC，它通過主動動態調控內外雙向數據流量，能有效分配有限的帶寬資源，做到了彈性管理。SiteViewTC可有效控制每個IP地址流量，從而限制P2P、網絡游戲、網絡電視等應用對寬帶資源的占用，保證關鍵業務的正常進行。有興趣的老師可以到他們的網站上申請一個試用版嘗試一下。
【編輯推薦】
