CN114244732A - 一种NetFlow端口流量准确率核查方法及装置 - Google Patents

Abstract

本发明公开一种NetFlow端口流量准确率核查方法及装置，其中，该方法包括：采集NetFlow接入端口流量数据和电路流量数据；将采集到的NetFlow接入端口流量数据和电路流量数据进行比对，判断NetFlow接入端口流量是否异常，最终输出NetFlow接入端口异常流量数据和统计信息。该方法及装置能够实时监测NetFlow接入端口流量异常情况，帮助定位到NetFlow接入端口流量异常类型，减轻运维人员工作量，提高客户满意度。

Description

一种NetFlow端口流量准确率核查方法及装置

技术领域

本发明涉及NetFlow端口流量监测及统计领域，尤其是一种NetFlow端口流量准确率核查方法及装置。

背景技术

NetFlow端口流量采集信息较多，且数据量较大，采集信息是否正确，目前没有特别直观的实时监测方式和统计方法。

发明内容

针对上述情况，本发明提供一种NetFlow端口流量准确率核查方法及装置，能够实时监测NetFlow接入端口流量异常情况，帮助定位到NetFlow接入端口流量异常类型，减轻运维人员工作量，提高客户满意度。

为实现上述目的，本发明采用下述技术方案：

在本发明一实施例中，提出了一种NetFlow端口流量准确率核查方法，该方法包括：

采集NetFlow接入端口流量数据和电路流量数据；

将采集到的NetFlow接入端口流量数据和电路流量数据进行比对，判断NetFlow接入端口流量是否异常，最终输出NetFlow接入端口异常流量数据和统计信息。

进一步地，NetFlow接入端口流量数据和电路流量数据的比对规则如下：

按设备轮询每个NetFlow接入端口流量，按照该设备的标识和NetFlow接入端口查询网管内对应的电路id；

判断NetFlow接入端口是否为电路起始端，若是，则取该电路in方向的流量为电路流量做比对；否则为电路终止端，取该电路out方向的流量为电路流量做比对；

计算NetFlow接入端口流量异常比率。

进一步地，NetFlow接入端口流量异常比率的计算方法如下：

$ratio＝abs($netflow_byte-$flux_byte)/$flux_byte*100

其中，$netflow_byte：NetFlow入向接口流量；$flux_byte：电路in方向流量/电路out方向流量。

进一步地，NetFlow接入端口流量异常判断逻辑如下：

判断电路in方向流量/电路out方向流量是否大于NetFlow端口统计流量基线；

若电路in方向流量/电路out方向流量大于NetFlow端口统计流量基线，则判断NetFlow入向接口流量是否等于0，是则认为异常情况，异常类型为NetFlow接入端口没流量，否则判断NetFlow接入端口流量异常比率是否大于NetFlow接入端口统计异常比率基线，是则认为异常情况，异常类型为电路流量大，否则认为NetFlow接入端口流量正常；

若电路in方向流量/电路out方向流量小于NetFlow端口统计流量基线，则判断电路in方向流量/电路out方向流量是否等于0，是则认为异常情况，异常类型为电路没流量，否则判断NetFlow接入端口流量异常比率是否大于NetFlow接入端口统计异常比率基线，是则认为异常情况，异常类型为NetFlow接入端口流量大，否则认为NetFlow接入端口流量正常。

在本发明一实施例中，还提出了一种NetFlow端口流量准确率核查装置，该装置包括：

NetFlow接入端口流量统计汇总模块，用于采集NetFlow接入端口流量数据；

电路流量统计汇总模块，用于采集电路流量数据；

NetFlow流量和电路流量比对模块，用于将采集到的NetFlow接入端口流量数据和电路流量数据进行比对，判断NetFlow接入端口流量是否异常，最终输出NetFlow接入端口异常流量数据和统计信息。

进一步地，NetFlow接入端口流量数据和电路流量数据的比对规则如下：

按设备轮询每个NetFlow接入端口流量，按照该设备的标识和NetFlow接入端口查询网管内对应的电路id；

判断NetFlow接入端口是否为电路起始端，若是，则取该电路in方向的流量为电路流量做比对；否则为电路终止端，取该电路out方向的流量为电路流量做比对；

计算NetFlow接入端口流量异常比率。

进一步地，NetFlow接入端口流量异常比率的计算方法如下：

$ratio＝abs($netflow_byte-$flux_byte)/$flux_byte*100

其中，$netflow_byte：NetFlow入向接口流量；$flux_byte：电路in方向流量/电路out方向流量。

进一步地，NetFlow接入端口流量异常判断逻辑如下：

判断电路in方向流量/电路out方向流量是否大于NetFlow端口统计流量基线；

若电路in方向流量/电路out方向流量大于NetFlow端口统计流量基线，则判断NetFlow入向接口流量是否等于0，是则认为异常情况，异常类型为NetFlow接入端口没流量，否则判断NetFlow接入端口流量异常比率是否大于NetFlow接入端口统计异常比率基线，是则认为异常情况，异常类型为电路流量大，否则认为NetFlow接入端口流量正常；

若电路in方向流量/电路out方向流量小于NetFlow端口统计流量基线，则判断电路in方向流量/电路out方向流量是否等于0，是则认为异常情况，异常类型为电路没流量，否则判断NetFlow接入端口流量异常比率是否大于NetFlow接入端口统计异常比率基线，是则认为异常情况，异常类型为NetFlow接入端口流量大，否则认为NetFlow接入端口流量正常。

在本发明一实施例中，还提出了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时实现前述NetFlow端口流量准确率核查方法。

在本发明一实施例中，还提出了一种计算机可读存储介质，计算机可读存储介质存储有执行NetFlow端口流量准确率核查方法的计算机程序。

有益效果：

1、本发明实时监控NetFlow接入端口异常流量，定位异常类型。

2、本发明提供过滤条件如接入端口、目的网络及目的地址等，支持按条件查询NetFlow接入端口流量准确率核查。

附图说明

图1是本发明NetFlow端口流量准确率核查方法流程框图；

图2是本发明NetFlow接入端口流量数据采集流程图；

图3是本发明NetFlow接入端口流量和电路流量比对流程图；

图4是本发明NetFlow接入端口流量异常判断逻辑流程图；

图5是本发明一实施例的NetFlow设备端口统计信息示意图；

图6是本发明NetFlow端口流量准确率核查装置结构示意图；

图7是本发明计算机设备结构示意图。

具体实施方式

下面将参考若干示例性实施方式来描述本发明的原理和精神，应当理解，给出这些实施方式仅仅是为了使本领域技术人员能够更好地理解进而实现本发明，而并非以任何方式限制本发明的范围。相反，提供这些实施方式是为了使本公开更加透彻和完整，并且能够将本公开的范围完整地传达给本领域的技术人员。

本领域技术人员知道，本发明的实施方式可以实现为一种系统、装置、设备、方法或计算机程序产品。因此，本公开可以具体实现为以下形式，即：完全的硬件、完全的软件(包括固件、驻留软件、微代码等)，或者硬件和软件结合的形式。

根据本发明的实施方式，提出了一种NetFlow端口流量准确率核查方法及装置，可以实时并直观的查看NetFlow接入端口流量是否异常，并定位到NetFlow接入端口流量异常类型。

下面参考本发明的若干代表性实施方式，详细阐释本发明的原理和精神。

图1是本发明NetFlow端口流量准确率核查方法流程框图。如图1所示，该方法主要分为NetFlow接入端口流量采集、电路流量采集及NetFlow流量和电路流量比对三个步骤，将NetFlow接入端口流量数据和电路流量数据进行比对后，最终输出NetFlow接入端口异常流量数据和统计信息。具体流程如下：

S1、NetFlow接入端口流量采集

如图2所示，采集机通过接收路由器发送的NetFlow(网络流量)UDP(用户数据包协议)包，分析识别后生成原始文件(每分钟一个文件)存放在本地采集机。根据配置的分析方案，定时根据具体的汇总方式，分析原始文件，将分析后的Netflow接入端口流量数据主要包括：设备名、端口名、采集时间、flow速率机包速率等信息，存储到NetFlow接入端口流量数据表中。比如原始文件里包含7个字段，针对其中的字段a和字段b相同的flow文件中的c字段叠加，之后的总数除以采样周期(比如1分钟)，得到Netflow接入端口流量。

S2、电路流量采集

基于设备统计的电路流量，设备通过SNMP采集方式输出网管中每条电路流量数据。间隔固定时间(如：5min)采集一次最大字节数，计算前后两次采集结果的差值，即为电路流量，入库到电路流量表。

S3、NetFlow接入端口流量和电路流量比对

当网管内采集好NetFlow接入端口流量数据和电路流量数据后，依次比对二者差异。比对规则如下：

如图3所示，首先按设备轮询每个NetFlow接入端口的流量，按照该设备的标识和NetFlow接入端口查询网管内对应的电路id；判断NetFlow接入端口是否为电路a端(起始端)，若是则取该电路in方向的流量为电路流量做比对；否则为电路b端口(终止端)，则取该电路out方向的流量为电路流量做对比；计算NetFlow接入端口流量异常比率，计算方法：$ratio＝abs($netflow_byte-$flux_byte)/$flux_byte*100。

以下为了方便说明，做如下几个参数声明：

$netflow_byte：NetFlow接入端口流量；

$flux_byte：电路in方向流量/电路out方向流量；

$base_radio：NetFlow接入端口统计异常比率基线；

$flow_m：NetFlow接入端口统计流量基线。

NetFlow流量及电路流量异常判断逻辑如下：

图4为NetFlow接入端口为电路a端的判断逻辑，若是电路b端，$flux_byte为电路out方向流量，其他判断逻辑相同。逻辑简述如下：

判断$flux_byte是否大于$flow_m；

若$flux_byte>$flow_m，则判断$netflow_byte是否等于0，是则认为异常情况，异常类型为NetFlow接入端口没流量，否则判断$radio是否大于$base_radio，是则认为异常情况，异常类型为电路流量大，否则认为NetFlow接入端口流量正常；

若$flux_byte<$flow_m，则判断$flux_byte是否等于0，是则认为异常情况，异常类型为电路没流量，否则判断$radio是否大于$base_radio，是则认为异常情况，异常类型为NetFlow接入端口流量大，否则认为NetFlow接入端口流量正常。

上述NetFlow接入端口异常流量准确率核查结果统计入库。

需要说明的是，尽管在上述实施例及附图中以特定顺序描述了本发明方法的操作，但是，这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。

为了对上述NetFlow端口流量准确率核查方法进行更为清楚的解释，下面结合一个具体的实施例来进行说明，然而值得注意的是该实施例仅是为了更好地说明本发明，并不构成对本发明不当的限定。

本方案已在中国移动集团及中国电信等多个现场使用，通过该方法统计出来NetFlow接入端口流量和电路流量的准确率/误差率，及时通知用户更改NetFlow配置等操作，有极大的应用效果。具体实施步骤如下：

S1、NetFlow接入端口流量采集

采集机通过接收路由器发送的NetFlow(网络流量)UDP(用户数据包协议)包，分析识别后生成原始文件(每分钟一个文件)存放在本地采集机。根据配置的分析方案，定时根据具体的汇总方式，分析原始文件，将分析后的Netflow接入端口流量数据主要包括：设备名、端口名、采集时间、flow速率机包速率等信息，存储到NetFlow接入端口流量数据表中。比如原始文件里包含7个字段，针对其中的字段a和字段b相同的flow文件中的c字段叠加，之后的总数除以采样周期(比如1分钟)，得到Netflow接入端口流量。

S2、电路流量采集

基于设备统计的电路流量，设备通过SNMP采集方式输出网管中每条电路流量数据。间隔固定时间(如：5min)采集一次最大字节数，计算前后两次采集结果的差值，即为电路流量，入库到电路流量表。

如思科的最大字节数采集oid为1.3.6.1.2.1.4.31.3.1.6，采集方式及结果如下所示：

$snmpwalk-v2c-c CN2-justdoit59.43.5.89.1.3.6.1.2.1.4.31.3.1.6(采集命令)

ip.31.3.1.6.2.17＝Counter64:180668(采集结果)

ip.31.3.1.6.2.18＝Counter64:46368(采集结果)。

S3、NetFlow接入端口流量和电路流量比对

当网管内采集好NetFlow接入端口流量数据和电路流量数据后，依次比对二者差异。比对规则如下：

首先按设备轮询每个NetFlow接入端口的流量，按照该设备的标识和NetFlow接入端口查询网管内对应的电路id；判断NetFlow接入端口是否为电路a端(起始端)，若是则取该电路in方向的流量为电路流量做比对；否则为电路b端口(终止端)，则取该电路out方向的流量为电路流量做对比；计算NetFlow接入端口流量异常比率，计算方法：$ratio＝abs($netflow_byte-$flux_byte)/$flux_byte*100。

以下为了方便说明，做如下几个参数声明：

$netflow_byte：NetFlow接入端口流量；

$flux_byte：电路in方向流量/电路out方向流量；

$base_radio：NetFlow接入端口统计异常比率基线；

$flow_m：NetFlow接入端口统计流量基线。

NetFlow流量及电路流量异常判断逻辑如下：

以NetFlow接入端口为电路a端的判断逻辑为例，若是电路b端，$flux_byte为电路out方向流量，其他判断逻辑相同。逻辑简述如下：

判断$flux_byte是否大于$flow_m；

若$flux_byte>$flow_m，则判断$netflow_byte是否等于0，是则认为异常情况，异常类型为NetFlow接入端口没流量，否则判断$radio是否大于$base_radio，是则认为异常情况，异常类型为电路流量大，否则认为NetFlow接入端口流量正常；

若$flux_byte<$flow_m，则判断$flux_byte是否等于0，是则认为异常情况，异常类型为电路没流量，否则判断$radio是否大于$base_radio，是则认为异常情况，异常类型为NetFlow接入端口流量大，否则认为NetFlow接入端口流量正常。

上述NetFlow接入端口异常流量准确率核查结果，统计入库如图5所示。

基于同一发明构思，本发明还提出一种NetFlow端口流量准确率核查装置。该装置的实施可以参见上述方法的实施，重复之处不再赘述。以下所使用的术语“模块”，可以是实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

图6是本发明NetFlow端口流量准确率核查装置结构示意图。如图6所示，该装置包括：

NetFlow接入端口流量统计汇总模块101，用于采集NetFlow接入端口流量数据。

电路流量统计汇总模块102，用于采集电路流量数据。

NetFlow流量和电路流量比对模块103，用于将采集到的NetFlow接入端口流量数据和电路流量数据进行比对，判断NetFlow接入端口流量是否异常，最终输出NetFlow接入端口异常流量数据和统计信息；

NetFlow接入端口流量数据和电路流量数据的比对规则如下：

按设备轮询每个NetFlow接入端口流量，按照该设备的标识和NetFlow接入端口查询网管内对应的电路id；

判断NetFlow接入端口是否为电路起始端，若是，则取该电路in方向的流量为电路流量做比对；否则为电路终止端，取该电路out方向的流量为电路流量做比对；

计算NetFlow接入端口流量异常比率，计算方法如下：

$ratio＝abs($netflow_byte-$flux_byte)/$flux_byte*100

其中，$netflow_byte：NetFlow入向接口流量；$flux_byte：电路in方向流量/电路out方向流量。

NetFlow接入端口流量异常判断逻辑如下：

判断电路in方向流量/电路out方向流量是否大于NetFlow端口统计流量基线；

若电路in方向流量/电路out方向流量大于NetFlow端口统计流量基线，则判断NetFlow入向接口流量是否等于0，是则认为异常情况，异常类型为NetFlow接入端口没流量，否则判断NetFlow接入端口流量异常比率是否大于NetFlow接入端口统计异常比率基线，是则认为异常情况，异常类型为电路流量大，否则认为NetFlow接入端口流量正常；

若电路in方向流量/电路out方向流量小于NetFlow端口统计流量基线，则判断电路in方向流量/电路out方向流量是否等于0，是则认为异常情况，异常类型为电路没流量，否则判断NetFlow接入端口流量异常比率是否大于NetFlow接入端口统计异常比率基线，是则认为异常情况，异常类型为NetFlow接入端口流量大，否则认为NetFlow接入端口流量正常。

应当注意，尽管在上文详细描述中提及了NetFlow端口流量准确率核查装置的若干模块，但是这种划分仅仅是示例性的并非强制性的。实际上，根据本发明的实施方式，上文描述的两个或更多模块的特征和功能可以在一个模块中具体化。反之，上文描述的一个模块的特征和功能可以进一步划分为由多个模块来具体化。

基于前述发明构思，如图7所示，本发明还提出一种计算机设备200，包括存储器210、处理器220及存储在存储器210上并可在处理器220上运行的计算机程序230，处理器220执行计算机程序230时实现前述NetFlow端口流量准确率核查方法。

基于前述发明构思，本发明还提出一种计算机可读存储介质，计算机可读存储介质存储有执行前述NetFlow端口流量准确率核查方法的计算机程序。

本发明提出的NetFlow端口流量准确率核查方法及装置，实时监控NetFlow接入端口异常流量，定位异常类型；提供过滤条件如接入端口、目的网络及目的地址等，支持按条件查询NetFlow接入端口流量准确率核查。

虽然已经参考若干具体实施方式描述了本发明的精神和原理，但是应该理解，本发明并不限于所公开的具体实施方式，对各方面的划分也不意味着这些方面中的特征不能组合以进行受益，这种划分仅是为了表述的方便。本发明旨在涵盖所附权利要求的精神和范围内所包含的各种修改和等同布置。

对本发明保护范围的限制，所属领域技术人员应该明白，在本发明的技术方案的基础上，本领域技术人员不需要付出创造性劳动即可做出的各种修改或变形仍在本发明的保护范围以内。

Claims (10)

1.一种NetFlow端口流量准确率核查方法，其特征在于，该方法包括：

采集NetFlow接入端口流量数据和电路流量数据；

将采集到的NetFlow接入端口流量数据和电路流量数据进行比对，判断NetFlow接入端口流量是否异常，最终输出NetFlow接入端口异常流量数据和统计信息。

2.根据权利要求1所述的NetFlow端口流量准确率核查方法，其特征在于，所述NetFlow接入端口流量数据和电路流量数据的比对规则如下：

按设备轮询每个NetFlow接入端口流量，按照该设备的标识和NetFlow接入端口查询网管内对应的电路id；

判断NetFlow接入端口是否为电路起始端，若是，则取该电路in方向的流量为电路流量做比对；否则为电路终止端，取该电路out方向的流量为电路流量做比对；

计算NetFlow接入端口流量异常比率。

3.根据权利要求2所述的NetFlow端口流量准确率核查方法，其特征在于，所述NetFlow接入端口流量异常比率的计算方法如下：

$ratio＝abs($netflow_byte-$flux_byte)/$flux_byte*100

其中，$netflow_byte：NetFlow入向接口流量；$flux_byte：电路in方向流量/电路out方向流量。

4.根据权利要求1所述的NetFlow端口流量准确率核查方法，其特征在于，所述NetFlow接入端口流量异常判断逻辑如下：

判断电路in方向流量/电路out方向流量是否大于NetFlow端口统计流量基线；

若电路in方向流量/电路out方向流量大于NetFlow端口统计流量基线，则判断NetFlow入向接口流量是否等于0，是则认为异常情况，异常类型为NetFlow接入端口没流量，否则判断NetFlow接入端口流量异常比率是否大于NetFlow接入端口统计异常比率基线，是则认为异常情况，异常类型为电路流量大，否则认为NetFlow接入端口流量正常；

若电路in方向流量/电路out方向流量小于NetFlow端口统计流量基线，则判断电路in方向流量/电路out方向流量是否等于0，是则认为异常情况，异常类型为电路没流量，否则判断NetFlow接入端口流量异常比率是否大于NetFlow接入端口统计异常比率基线，是则认为异常情况，异常类型为NetFlow接入端口流量大，否则认为NetFlow接入端口流量正常。

5.一种NetFlow端口流量准确率核查装置，其特征在于，该装置包括：

NetFlow接入端口流量统计汇总模块，用于采集NetFlow接入端口流量数据；

电路流量统计汇总模块，用于采集电路流量数据；

NetFlow流量和电路流量比对模块，用于将采集到的NetFlow接入端口流量数据和电路流量数据进行比对，判断NetFlow接入端口流量是否异常，最终输出NetFlow接入端口异常流量数据和统计信息。

6.根据权利要求5所述的NetFlow端口流量准确率核查装置，其特征在于，所述NetFlow接入端口流量数据和电路流量数据的比对规则如下：

按设备轮询每个NetFlow接入端口流量，按照该设备的标识和NetFlow接入端口查询网管内对应的电路id；

判断NetFlow接入端口是否为电路起始端，若是，则取该电路in方向的流量为电路流量做比对；否则为电路终止端，取该电路out方向的流量为电路流量做比对；

计算NetFlow接入端口流量异常比率。

7.根据权利要求6所述的NetFlow端口流量准确率核查装置，其特征在于，所述NetFlow接入端口流量异常比率的计算方法如下：

$ratio＝abs($netflow_byte-$flux_byte)/$flux_byte*100

其中，$netflow_byte：NetFlow入向接口流量；$flux_byte：电路in方向流量/电路out方向流量。

8.根据权利要求5所述的NetFlow端口流量准确率核查装置，其特征在于，所述NetFlow接入端口流量异常判断逻辑如下：

判断电路in方向流量/电路out方向流量是否大于NetFlow端口统计流量基线；

若电路in方向流量/电路out方向流量大于NetFlow端口统计流量基线，则判断NetFlow入向接口流量是否等于0，是则认为异常情况，异常类型为NetFlow接入端口没流量，否则判断NetFlow接入端口流量异常比率是否大于NetFlow接入端口统计异常比率基线，是则认为异常情况，异常类型为电路流量大，否则认为NetFlow接入端口流量正常；

若电路in方向流量/电路out方向流量小于NetFlow端口统计流量基线，则判断电路in方向流量/电路out方向流量是否等于0，是则认为异常情况，异常类型为电路没流量，否则判断NetFlow接入端口流量异常比率是否大于NetFlow接入端口统计异常比率基线，是则认为异常情况，异常类型为NetFlow接入端口流量大，否则认为NetFlow接入端口流量正常。

9.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1-4任一项所述方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有执行权利要求1-4任一项所述方法的计算机程序。

Images