校園網(wǎng)流量管理經(jīng)驗(yàn)談
在我們精心打造的校園網(wǎng)中，如果網(wǎng)絡(luò)突然緩慢，在重要數(shù)據(jù)往來(lái)的教學(xué)時(shí)間段，留給系統(tǒng)管理員的響應(yīng)時(shí)間只有寶貴的十幾分鐘、甚至幾分鐘。而且，蠕蟲(chóng)病毒對(duì)網(wǎng)絡(luò)速度的影響越來(lái)越嚴(yán)重，例如“網(wǎng)絡(luò)天空”等郵件蠕蟲(chóng)病毒，它們導(dǎo)致被感染的用戶只要一連上網(wǎng)就不停地往外發(fā)郵件，病毒選擇用戶個(gè)人電腦中的隨機(jī)文檔附加在用戶的通訊簿上，通過(guò)隨機(jī)地址進(jìn)行郵件發(fā)送。成百上千的這種垃圾郵件有的排著隊(duì)往外發(fā)送，有的又成批地被退回來(lái)堆在服務(wù)器上。這都造成個(gè)教育網(wǎng)骨干線路出現(xiàn)明顯擁塞，甚至在蠕蟲(chóng)泛濫的局域網(wǎng)中，癱瘓的事件屢有發(fā)生。
進(jìn)行流量監(jiān)控和流量分析是整個(gè)網(wǎng)絡(luò)合理化的重要環(huán)節(jié)，它能在最短的時(shí)間內(nèi)發(fā)現(xiàn)安全威脅，在第一時(shí)間進(jìn)行分析，通過(guò)流量分析來(lái)確定攻擊，然后發(fā)出預(yù)警，快速采取措施。如何在核心的網(wǎng)絡(luò)設(shè)備上監(jiān)控流量、限制異常流量就成了大家關(guān)注的技術(shù)問(wèn)題。
監(jiān)控對(duì)象的制定
連接性
連接性也稱可用性、連通性或者可達(dá)性，學(xué)校需要高效率的帶寬服務(wù)，更嚴(yán)格的說(shuō)應(yīng)該是網(wǎng)絡(luò)服務(wù)的基本能力或?qū)傩?。比如遠(yuǎn)程教學(xué)中需要寬帶連接和視頻點(diǎn)播等服務(wù)，這些都必須以網(wǎng)絡(luò)的連接性能為基礎(chǔ)和保障。
丟包率
丟包率是指丟失的IP 包與所有的IP 包的比值。許多因素會(huì)導(dǎo)致數(shù)據(jù)包在網(wǎng)絡(luò)上傳輸時(shí)被丟棄，例如數(shù)據(jù)包的大小以及數(shù)據(jù)發(fā)送時(shí)鏈路的擁塞狀況等。不同業(yè)務(wù)對(duì)丟包的敏感性不同，在多媒體教學(xué)中，丟包是導(dǎo)致圖像質(zhì)量降低和斷幀的根本原因。
時(shí)延
時(shí)延定義了一個(gè)IP 包穿越一個(gè)或多個(gè)網(wǎng)段所經(jīng)歷的時(shí)間。時(shí)延由固定時(shí)延和可變時(shí)延兩部分組成。固定時(shí)延基本不變，由傳播時(shí)延和傳輸時(shí)延構(gòu)成;可變時(shí)延由中間路由器處理時(shí)延和排隊(duì)等待時(shí)延兩部分構(gòu)成。
帶寬分析
帶寬一般分為瓶頸帶寬和可用帶寬。瓶頸帶寬是指當(dāng)一條路徑(通路)中沒(méi)有其它背景流量時(shí)，網(wǎng)絡(luò)能夠提供的最大的吞吐量?？捎脦捠侵冈诰W(wǎng)絡(luò)路徑(通路)存在背景流量的情況下，能夠提供給某個(gè)業(yè)務(wù)的最大吞吐量。
協(xié)議分析
對(duì)網(wǎng)絡(luò)流量進(jìn)行協(xié)議劃分，如:Web瀏覽(HTTP)、電子郵件(POP3、SMTP、WEB MAIL、文件下載(FTP)、即時(shí)聊天(MSN、QQ等)、流媒體(MMS、RTSP)等。針對(duì)不同的網(wǎng)絡(luò)應(yīng)用協(xié)議進(jìn)行流量監(jiān)控和分析，如果某一個(gè)協(xié)議在一個(gè)時(shí)間段內(nèi)出現(xiàn)超常占用可用帶寬的情況，就有可能是攻擊流量或蠕蟲(chóng)病毒出現(xiàn)。
應(yīng)用網(wǎng)段流量分析
大多數(shù)學(xué)校都是將不同的業(yè)務(wù)應(yīng)用通過(guò)VLAN來(lái)進(jìn)行邏輯隔離的，所以可以通過(guò)流量分析系統(tǒng)針對(duì)不同VLAN來(lái)進(jìn)行網(wǎng)絡(luò)流量監(jiān)控。
網(wǎng)絡(luò)設(shè)備的流量管理
理解CBAC
很多中小學(xué)校受到資金的限制，網(wǎng)管員大多采用了路由器中Cisco IOS防火墻特性集，基于上下文的訪問(wèn)控制(CBAC)是最顯著的新增特性。CBAC技術(shù)的重要性在于: 使管理員能夠?qū)OS防火墻配置為一個(gè)智能化、集成化的單框解決方案的一部分。CBAC通過(guò)嚴(yán)格審查源和目的地址，增強(qiáng)了使用眾所周知端口的TCP和UDP應(yīng)用程序的安全。CBAC通過(guò)檢查整個(gè)(數(shù)據(jù))包了解應(yīng)用程序狀態(tài)信息，給ACL功能增加了檢查智能。CBAC利用這種信息創(chuàng)建一個(gè)暫時(shí)的、會(huì)話(Session)特定的ACL入口，從而允許回返通信進(jìn)入可靠網(wǎng)絡(luò)。這種暫時(shí)的ACL有效地在防火墻中打開(kāi)了一個(gè)大門。當(dāng)一個(gè)會(huì)話結(jié)束時(shí)，ACL入口被刪除，大門關(guān)閉。CBAC在應(yīng)用層審查包和維護(hù)TCP和UDP會(huì)話信息，這給CBAC提供了檢測(cè)和阻止某種網(wǎng)絡(luò)攻擊的能力，比如SYN flooding。CBAC是針對(duì)每個(gè)接口進(jìn)行配置的，可以被用于控制源于防火墻另一方的通信(雙向); 但是，大多數(shù)客戶將CBAC用于僅源于一方的通信(單向)。
CBAC可根據(jù)需要打開(kāi)連接，并監(jiān)視回返通信流量，但CBAC對(duì)于流量審核檢查方面并不完美。比如它只檢查規(guī)定的內(nèi)容，對(duì)于更多的流量類型就必須自己增加很多語(yǔ)句。#p#
理解NBAR
網(wǎng)絡(luò)上利用NBAR管理P2P流量的文章相當(dāng)多，讀者可以在操作過(guò)程中可以參閱模仿，但很多人對(duì)于NBAR到底是什么?卻一直沒(méi)有搞清楚?；诰W(wǎng)絡(luò)的應(yīng)用識(shí)別(Network-Based Application Recognition ,NBAR)，是在Cisco IOS 12.0(5)XE2中引入的，在12.3(4)T中得到了加強(qiáng)。
NBAR可以根據(jù)OSI參考模型的第3層到第7層信息來(lái)對(duì)流量進(jìn)行分類，設(shè)置NBAR第一個(gè)步就是建立審查的流量分類。NBAR檢查可以幫助我們做很多事情，如應(yīng)用類型、連接的具體地址、連接中的數(shù)據(jù)和數(shù)據(jù)包的長(zhǎng)度?；谄ヅ錁?biāo)準(zhǔn)，NBAR將匹配的流量放進(jìn)特定的類(或組)中。在建立了分類規(guī)則之后，建立用來(lái)標(biāo)識(shí)流量策略，對(duì)于IP流量，我們使用IP優(yōu)先級(jí)來(lái)對(duì)流量進(jìn)行分組(類)。IP優(yōu)先級(jí)標(biāo)準(zhǔn)(和DSCP)使用IP包頭中的TOS域中的位來(lái)分類流量。當(dāng)流量進(jìn)入路由器時(shí)就執(zhí)行這兩步，然后當(dāng)流量離開(kāi)路由器上的一個(gè)特定的外出接口時(shí)，定義對(duì)被標(biāo)記的流量將采取什么操作。我們?cè)诹髁績(jī)?yōu)先級(jí)控制上通常使用QOS，這將影響數(shù)據(jù)包被發(fā)送接口之前，首先需要排成隊(duì)列。而NBAR可以為這些流量定義其他策略，限制這們的帶寬或甚至丟棄這些流量。
理解分析模塊NAM
NAM(Network Analysis Module)是一個(gè)集成的通信流監(jiān)視解決方案，可以提供全面的RMON I、RMON II、NetFlow和VLAN監(jiān)視、與協(xié)議相關(guān)的故障診斷以及趨勢(shì)分析功能。由于這個(gè)模塊一般在高端交換機(jī)上，所有在中小學(xué)中比較少見(jiàn)，而區(qū)縣級(jí)的教育信息中心多采用這種流量管理方案。
NAM的一個(gè)關(guān)鍵功能是它能夠同時(shí)并實(shí)時(shí)地監(jiān)控多個(gè)交換機(jī)端口或VLAN，并能夠?yàn)槊恳粋€(gè)數(shù)據(jù)源提供獨(dú)立的RMON I/RMON II統(tǒng)計(jì)數(shù)據(jù)。例如，一個(gè)需要監(jiān)視三個(gè)以太網(wǎng)客戶機(jī)端口的網(wǎng)絡(luò)管理員可以在一個(gè)端口上運(yùn)行分組捕獲應(yīng)用;在另一個(gè)端口上運(yùn)行IP主機(jī)和會(huì)話應(yīng)用;而在第三個(gè)端口上運(yùn)行協(xié)議分發(fā)和應(yīng)用層矩陣表應(yīng)用。
NAM是對(duì)交換環(huán)境進(jìn)行監(jiān)視或故障診斷的理想選擇，通過(guò)加入像NAM這樣的RMON I/RMON II技術(shù)，可以使Catalyst 5000/6500系列交換機(jī)上的每個(gè)以太網(wǎng)、快速以太網(wǎng)和千兆位以太網(wǎng)交換機(jī)端口的mini-RMON統(tǒng)計(jì)功能得到加強(qiáng)，進(jìn)而提供全部7個(gè)層次的監(jiān)視和故障診斷功能。更詳細(xì)的信息可以參考:
◆用于 HTTP 流量的 NBAR 擴(kuò)展檢查，通過(guò)使用 HTTP 特定的條件識(shí)別除了眾所周知的 TCP 端口 80 之外的端口上的 HTTP 流量
◆NBAR 用戶定義的定制應(yīng)用程序分類，使用戶可以指定自己的匹配條件來(lái)識(shí)別端口范圍以及特定端口上基于 TCP 或 UDP 的應(yīng)用程序
其他流量管理的做法
在校園網(wǎng)出口管理中，應(yīng)分析不同的應(yīng)用占用不同的帶寬，重要的應(yīng)用是否得到了最佳的帶寬?它占的比例是多少?隊(duì)列設(shè)置和網(wǎng)絡(luò)優(yōu)化是否生效?通用的做法使用MRTG等網(wǎng)絡(luò)流量分析軟件，并以圖形HTML 文檔方式顯示給用戶，以非常直觀的形式顯示流量負(fù)載。我常使用的一個(gè)叫NTOP的軟件，個(gè)人感覺(jué)比MRTG更直觀一些，甚至可以列出每個(gè)節(jié)點(diǎn)計(jì)算機(jī)的網(wǎng)絡(luò)帶寬利用率。它可以通過(guò)分析網(wǎng)絡(luò)流量來(lái)確定網(wǎng)絡(luò)上存在的各種問(wèn)題;也可以用來(lái)判斷是否有黑客正在攻擊網(wǎng)絡(luò)系統(tǒng);還可以很方便地顯示出特定的網(wǎng)絡(luò)協(xié)議、占用大量帶寬的主機(jī)、各次通信的目標(biāo)主機(jī)、數(shù)據(jù)包的發(fā)送時(shí)間、傳遞數(shù)據(jù)包的延時(shí)等詳細(xì)信息。通過(guò)了解這些信息，網(wǎng)管員可以對(duì)故障做出及時(shí)的響應(yīng)，對(duì)網(wǎng)絡(luò)進(jìn)行相應(yīng)的優(yōu)化調(diào)整，以保證網(wǎng)絡(luò)運(yùn)行的效率和安全。
面對(duì)異常流量，我們應(yīng)當(dāng)建立一套分析系統(tǒng)，支持異常流量發(fā)現(xiàn)和報(bào)警，能夠通過(guò)對(duì)一個(gè)時(shí)間段內(nèi)歷史數(shù)據(jù)的自動(dòng)學(xué)習(xí)，獲取包括總體網(wǎng)絡(luò)流量水平、流量波動(dòng)、流量跳變等在內(nèi)的多種網(wǎng)絡(luò)流量測(cè)度，并自動(dòng)建立當(dāng)前流量的置信度區(qū)間作為流量異常監(jiān)測(cè)的基礎(chǔ)。如果自行建立主動(dòng)型的網(wǎng)絡(luò)分析系統(tǒng)一般包括:測(cè)量節(jié)點(diǎn)、中心服務(wù)器、數(shù)據(jù)庫(kù)和分析服務(wù)器。但對(duì)于學(xué)校來(lái)說(shuō)難度較大。主動(dòng)分析是借助產(chǎn)品化和集成程度較高的測(cè)量工具，有目的對(duì)生產(chǎn)網(wǎng)絡(luò)注入監(jiān)控點(diǎn)，并根據(jù)測(cè)量數(shù)據(jù)流的傳送情況來(lái)分析網(wǎng)絡(luò)的性能。雖然這些監(jiān)控點(diǎn)也會(huì)占用帶寬，但和P2P下載所占用的可用帶寬是微不足道的。
水廠通過(guò)調(diào)節(jié)水網(wǎng)的各個(gè)閥門將飲用水送進(jìn)千家萬(wàn)戶，必要時(shí)只要打開(kāi)或關(guān)閉其中一、兩個(gè)就能達(dá)到“開(kāi)源”或“節(jié)流”的目的，控制起來(lái)隨心所欲。推而廣之，如果能對(duì)校園中的數(shù)據(jù)流量進(jìn)行“閥門式”控制，就能有效提高寬帶網(wǎng)絡(luò)的利用率。
某些管理軟件可以做到 “閥門”作用，比如:SiteViewTC，它通過(guò)主動(dòng)動(dòng)態(tài)調(diào)控內(nèi)外雙向數(shù)據(jù)流量，能有效分配有限的帶寬資源，做到了彈性管理。SiteViewTC可有效控制每個(gè)IP地址流量，從而限制P2P、網(wǎng)絡(luò)游戲、網(wǎng)絡(luò)電視等應(yīng)用對(duì)寬帶資源的占用，保證關(guān)鍵業(yè)務(wù)的正常進(jìn)行。有興趣的老師可以到他們的網(wǎng)站上申請(qǐng)一個(gè)試用版嘗試一下。
【編輯推薦】
