"全网又卡了！视频会议全部马赛克，ERP 登录都转圈，老板在问是不是我们网络被攻击了！"你打开监控平台，带宽明明显示爆满，却说不清到底是谁在跑流量。是哪个部门的下载任务？是哪台服务器被爬虫盯上了？还是某个终端中了招在疯狂外发数据？
面对一片混沌的网络流量，很多网工的第一反应是：抓包。可抓包只能看某一台设备的某一个端口，流量一大，分析就无从下手。真正要定位"谁在跑流量、跑的是什么、从哪来到哪去、是否异常"，需要的是完整的流量监控体系。NetStream、sFlow、Telemetry、镜像，就是网络流量分析里的"四大金刚"。
PART 01 前言：为什么需要流量监控
网络管理的核心能力之一，是性能管理：持续监控带宽、时延、丢包率、抖动等指标，保障网络运行质量。
但传统 SNMP 轮询只能告诉你"某个接口用了多少带宽"，却无法回答"这些带宽被谁用了"。流量监控技术填补的正是这个空白------让你从"知道网络忙"，升级到"知道网络为什么忙"。
它通常要回答几个问题：
- · 谁占用了带宽？是部门、服务器、终端还是某个 IP？
- · 流量去往哪里？是内网、互联网、分支机构还是数据中心？
- · 跑的是什么应用？视频会议、ERP、数据库、下载、爬虫、病毒外发？
- · 是正常业务高峰，还是异常攻击、扫描、DDoS、广播风暴？
- · 是持续大流，还是短时突发、微突发？
- · 该限速、该扩容、该封禁，还是该优化 QoS？
抓包最精确，但只能覆盖局部；SNMP 看接口计数器，但只有总量，没有细节。于是，NetStream、sFlow、Telemetry、镜像分别从不同维度解决流量可见性问题：
- · NetStream：网络流量的全量记账本。
- · sFlow：用抽样调查看懂全网流量。
- · Telemetry：让网络主动汇报的亚秒级遥测。
- · 镜像：把真实流量复制一份给你分析。
PART 02 NetStream：网络流量的全量记账本
1. 定位
NetStream 是华为/H3C 设备上的流统计技术，原理与 Cisco 的 NetFlow 高度兼容，也常与标准 IPFIX 归为一类。它适合需要精确知道"谁用了多少带宽"的场景。
2. 工作原理
设备对经过的报文按"流"进行匹配。相同特征的报文归为一条流，常见匹配字段是五元组或七元组：
- · 源 IP
- · 目的 IP
- · 源端口
- · 目的端口
- · 协议号
- · 入接口、出接口
- · ToS/DSCP
- · BGP 下一跳等
设备在本地缓存中累计每条流的字节数、包数、TCP 标志等信息。流老化后，将统计记录输出到采集器。采集器再进行分析，输出 Top Talker、Top 应用、部门流量排行、异常连接等报表。
3. 核心特点
- · 基于流缓存：维护流表，能精确统计每一条流的完整信息。
- · 灵活模板：支持 V9 模板，可自定义输出字段，如源/目的 IP、端口、协议、DSCP、BGP 下一跳等。
- · 聚合能力：支持按 AS、前缀、协议-端口等维度聚合输出，减轻采集器压力。
- · 多场景支持：支持 IPv6、MPLS、SRv6 等场景。
- · 适合审计与计费：能精确回答"哪个部门、哪台主机、哪个应用占了多少带宽"。
4. 优点
- · 全量或准全量记录，适合审计、计费、部门流量分析。
- · 能看清源目 IP、端口、协议、接口，定位能力强。
- · 可结合应用识别，判断视频、ERP、下载、数据库等业务流量。
- · 适合出口、边界、广域网等需要精确统计的位置。
5. 局限与注意事项
- · 网元需要维护流表，有一定性能开销。
- · Flow Cache 容量有限，流表撑满会导致 CPU 飙升，甚至管理平面宕机。
- · 采集器存储和分析压力大。
- · 实时性通常为秒级到分钟级，不适合亚秒级突发分析。
- · NetStream 与 sFlow 在同一设备上通常互斥，不能随意同时开启。
- · 配置不当或采样导出时，可能丢失细节。
6. 适用场景
出口路由器、骨干网边界、广域网核心，需要精确知道"谁用了多少带宽"的场景，例如：
- · 分部门计费
- · SLA 监测
- · 安全溯源
- · 流量审计
- · 异常外发排查
PART 03 sFlow：用抽样调查看懂全网流量
1. 定位
sFlow 是一种基于报文采样的轻量级流量监控技术，由 InMon 提出，已成为行业标准（RFC 3176）。它的思路不是全量记账，而是"抽样调查"。
2. 工作原理
sFlow Agent 以固定采样率随机抽取报文，例如 1:4000，截取报文头信息，连同接口计数器一起封装为 sFlow 报文，通过 UDP 推送给采集器。
整个过程通常由 ASIC 芯片硬件完成，几乎不占用 CPU。采集器根据采样结果，用统计学方法推算整体流量分布。
3. 两种采样
- · Flow 采样：抓取报文头，分析源目 IP、端口、协议、应用等。
- · Counter 采样：定期上报接口统计信息，如带宽、包数、错包等。
4. 核心特点
- · 无状态采样：不维护流表，采样后直接上报，资源消耗极低。
- · 硬件级实现：固化在交换芯片中，万兆、25G、100G 线速开启也不影响转发。
- · 统计学精度：采样带来统计误差，但大流量下趋势准确。
- · 部署简单：很多交换机都支持，适合大规模铺开。
- · 适合"看大局"，快速发现异常流量方向。
5. 优点
- · 对设备性能影响小，适合高速接口和骨干网络。
- · 能提供全网范围的流量趋势和 Top N 分析。
- · 适合数据中心、园区网汇聚层做态势感知。
- · 可用于 DDoS 攻击溯源、异常流量快速发现。
6. 局限与注意事项
- · 抽样意味着不精确，小流、短突发可能被漏掉。
- · 短命流，例如几个包就结束的连接，可能无法被采样到。
- · 不适合精确计费、取证和逐包分析。
- · 采样率不是越高越好。万兆口 1:2000 通常是性能与精度的平衡点。
- · 太低不准，太高增加开销。
7. 适用场景
数据中心核心/接入交换机、园区网汇聚层、骨干链路、高速端口、大规模网络趋势分析。
PART 04 Telemetry：让网络主动汇报的亚秒级遥测
1. 定位
Telemetry 代表了网络监控的下一代范式：从"网管去拉数据"变为"设备主动推送数据"。传统 SNMP 是拉模式，分钟级轮询；Telemetry 是推模式，毫秒级上报。
2. 工作原理
设备通过 gRPC/gNMI 等协议，按订阅周期主动将接口流量、CPU、内存、队列深度、时延等指标推送到采集器。
2026 年 9 月 1 日起实施的行业标准 YD/T 7057-2026，已对 IP 网络设备的 Telemetry 能力作出规范要求。
3. 核心特点
- · 亚秒级精度：毫秒级上报，能捕捉微突发流量。
- · 推模式：告别 SNMP 轮询的分钟级盲区。
- · 标准化接口：基于 OpenConfig YANG 模型，跨厂商兼容。
- · 可编程订阅：按需订阅关心的指标，灵活度高。
- · 不只监控流量：还能上报接口速率、丢包、时延、队列、CPU、内存、温度、BGP 状态等。
4. 优点
- · 实时性高，适合发现短时突发、微突发和秒级抖动。
- · 主动推送，采集频率高，数据更连续。
- · 模型驱动，适合自动化运维、SDN、云网和 AI 网络。
- · 可与告警、编排联动，实现快速闭环。
- · 适合故障快速定界、实时流量调优。
5. 局限与注意事项
- · 需要设备支持 gNMI/OpenConfig，老设备不一定支持。
- · 高频数据量巨大，存储和计算成本高。
- · 采集器需具备高吞吐数据处理能力。
- · 通常偏指标和遥测，流级定位仍需结合 NetStream、sFlow 或镜像。
6. 适用场景
大规模 SDN 网络、金融/运营商核心网、AI 算力网络等对实时性要求极高的场景，用于：
- · 微突发检测
- · 故障快速定界
- · 实时流量调优
- · 自动化运维闭环
PART 05 镜像：把真实流量复制一份给你分析
1. 定位
端口镜像，也就是 Port Mirroring / SPAN，是最"原始"但也最"真实"的流量监控方式------把指定端口的报文完整复制一份送到监控端口。
2. 三种形态
- · 本地镜像（SPAN）：源端口和监控端口在同一台设备上。
- · 远程镜像（RSPAN）：通过专用 VLAN 跨二层传输镜像流量。
- · 三层远程镜像（ERSPAN）：通过 GRE 封装跨三层路由传输，可跨广域网送达监控中心。
3. 核心特点
- · 100% 完整：不采样、不聚合，原始报文一字不落。
- · 支持深度分析：配合 Wireshark/IDS 可做协议解析、入侵检测、故障复盘。
- · 流镜像：可结合 ACL 仅镜像特定条件的流量，减少数据量。
- · 最真实：能看到 payload 和交互细节，适合定位具体终端、具体连接。
4. 优点
- · 看到的是原始报文，最真实、最完整。
- · 可以做协议分析、故障定位、安全取证、应用性能分析。
- · 不依赖采样，能看到 TCP 重传、乱序、RST、应用层错误等细节。
- · 对定位具体终端、具体连接非常有效。
5. 局限与注意事项
- · 镜像流量会消耗设备 CPU/内存和监控端口带宽。
- · 镜像流量超过观测端口带宽会丢帧。
- · 存储成本极高，不适合长期全网全量保存。
- · 涉及隐私和合规，抓包内容需要授权和脱敏。
- · 只能覆盖被镜像的对象，无法天然覆盖全网。
- · 大规模部署成本高昂，无法全网覆盖。
6. 适用场景
故障深度排查、安全取证、IDS/IPS 部署、应用性能分析、可疑主机分析、关键服务器监控。
PART 06 对比与选型：谁更适合你的网络
1. 四大金刚对比表
|----------|-----------|-----------|------------|-----------|
| 维度 | NetStream | sFlow | Telemetry | 端口镜像 |
| 数据粒度 | 流级（逐流统计） | 采样级（统计近似） | 指标级（设备状态） | 报文级（原始报文） |
| 精度 | 精确 | 近似 | 精确 | 100% |
| 资源消耗 | 中（需流表） | 低（硬件采样） | 低（推模式） | 高（复制报文） |
| 实时性 | 秒级 | 秒级 | 亚秒级 | 实时 |
| 典型场景 | 出口计费、安全溯源 | 数据中心流量态势 | 微突发检测、实时调优 | 故障取证、IDS |
| 覆盖范围 | 边界/出口 | 全网接入/核心 | 核心/关键节点 | 重点链路 |
| 华为/H3C支持 | 主力 | 全线 | 新一代 | 全系 |
| 核心逻辑 | 全量记账 | 抽样调查 | 主动汇报 | 真实复制 |
| 主要局限 | 流表容量、采集压力 | 抽样误差、漏短命流 | 设备支持、数据量大 | 带宽成本、无法全网 |
2. 选型建议
- · 出口/边界路由器 → 开 NetStream：精确掌握每一分带宽去向，支撑计费和 SLA。
- · 数据中心/园区交换机 → 开 sFlow：低成本实现全网流量可视，快速发现异常。
- · 核心网/金融交易网 → 上 Telemetry：亚秒级感知微突发和链路抖动，主动预防故障。
- · 故障排查/安全取证 → 用镜像：拿到原始报文才能做深度协议分析和攻击溯源。
3. 最佳实践：组合使用
真实生产网络里，别只选一个，最好打组合拳：
- · 全网 sFlow 做态势感知。
- · 出口 NetStream 做精确统计。
- · 核心链路 Telemetry 做实时监控。
- · 重点节点镜像做深度分析。
四者互补，才能真正做到"全网透明、故障可溯"。
一句话记忆：
NetStream 管账，sFlow 看趋势，Telemetry 报快讯，镜像做取证。
PART 07 实战：视频会议马赛克、ERP 转圈怎么查
回到开头的问题：带宽爆满，视频会议马赛克，ERP 登录转圈，老板怀疑被攻击。
可以按下面的路径排查：
- Telemetry 先看实时指标
查看核心/出口接口利用率、丢包、队列深度、时延、抖动是否出现秒级突发。先判断是拥塞、丢包，还是微突发导致。
- sFlow 看全网态势
快速找出 Top Talker、异常源目 IP、异常端口、协议分布。判断是不是某台服务器、某个网段、某类应用突然跑高。
- NetStream 做精确流统计
在出口或边界查看部门流量、源 IP、目的 IP、端口、应用。判断是正常下载、视频会议突发，还是爬虫、病毒外发、异常连接。
- 镜像关键端口抓包
如果发现可疑终端或服务器，对关键端口做镜像，用 Wireshark/IDS 分析 TCP 重传、乱序、RST、应用层错误、恶意载荷。
- 判断根因并处置
可能是部门下载、爬虫、终端中毒外发、DDoS、广播风暴、路由环路、QoS 配置不当。处置手段包括 QoS、限速、ACL、防火墙、EDR、清洗流量。
- 复盘与优化
调整告警阈值、容量规划、采样率、流表老化时间、Telemetry 订阅周期，避免下次再"一片混沌"。
PART 08 常见误区与注意事项
- · 抓包不是万能：只能看局部，流量一大就无从下手。
- · SNMP 不是流量分析：只能看接口总量，不能回答"谁用了"。
- · 采样不等于不准：sFlow 是统计近似，大流量趋势准确，但小流可能漏。
- · Telemetry 不是替代流统计：它偏指标和遥测，流级定位仍需 NetStream、sFlow 或镜像。
- · 镜像不能全网长期全量：带宽、存储、合规成本都高。
- · NetStream 与 sFlow 可能互斥：同一设备上通常不能随意同时开启。
- · 流表撑满有风险：NetStream 流表过大会导致 CPU 飙升甚至管理平面宕机。
- · 采集器和存储是瓶颈：四大金刚都会产生大量数据，后端平台要匹配。
- · 隐私合规不能忽略：镜像抓包涉及 payload，需要授权和脱敏。
总结
流量监控四大金刚，各有各的战场：
- · NetStream：网络流量的全量记账本，精确回答"谁用了多少带宽"。
- · sFlow：用抽样调查看懂全网流量，低成本实现态势感知。
- · Telemetry：让网络主动汇报的亚秒级遥测，捕捉微突发和实时抖动。
- · 镜像：把真实流量复制一份给你分析，做深度协议分析和安全取证。
从"知道网络忙"到"知道网络为什么忙"，从"全网透明"到"故障可溯"，四者不是替代关系，而是互补关系。真正成熟的网络运维体系，往往是 sFlow 看全局、NetStream 算细账、Telemetry 抓实时、镜像做取证。组合起来，才能让混沌的流量变得看得清、查得到、管得住。