适用场景
流量分析能回答两个问题：谁在占带宽、谁在和谁说话。带宽纠纷与内网横向排查都靠它。
配置步骤（异常流量与容量分析）
# 1) Top Talkers：按源/目的 IP 排序
# 2) Top 会话：IP 对 + 端口
# 3) 异常特征：非工作时间大流量、内部主机外连陌生 IP、DNS 高频查询
# 4) 容量趋势：按日/周峰值规划扩容关键参数与建议
- 采集方式：NetFlow（路由器/交换机采样）、sFlow（旁路）、镜像（全量）
- 采样率与精度：1:1000 采样用于容量趋势，排查异常需要更高采样或镜像
- 分析维度：源/目的 IP、端口、协议、应用识别
- 告警：异常带宽、异常外连、非工作时间大流量
- 留存：按合规要求保留原始数据或聚合数据
容易踩的坑
- 只看总量不看会话，找不到占用源
- 忽略内网东西向流量，横向移动漏检
- 容量按平均值规划，峰值时拥塞
验证与巡检
# 证据：Top Talkers 日报、异常外连处置记录- 巡检：每周分析、异常有闭环
小结
流量分析的验收：能回答"刚才谁占了 100M 带宽"和"这台服务器在和哪些外部 IP 通信"。这两个问题能答，平台就有价值。
> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。