适用场景

流量分析能回答两个问题：谁在占带宽、谁在和谁说话。带宽纠纷与内网横向排查都靠它。

配置步骤（采集部署与配置）

# 交换机侧（华为）
netstream export host 10.0.10.30 2055
interface GigabitEthernet0/0/1
 netstream inbound
# 采样率
netstream sampler random-packets 1:1000 inbound

关键参数与建议

  • 采集方式：NetFlow（路由器/交换机采样）、sFlow（旁路）、镜像（全量）
  • 采样率与精度：1:1000 采样用于容量趋势，排查异常需要更高采样或镜像
  • 分析维度：源/目的 IP、端口、协议、应用识别
  • 告警：异常带宽、异常外连、非工作时间大流量
  • 留存：按合规要求保留原始数据或聚合数据

容易踩的坑

  • 采样率过高，排查时数据不足
  • 设备 CPU 与带宽开销未评估，影响转发
  • 只采核心口，看不到接入层异常

验证与巡检

# 验证：采集器能看到新会话记录
  • 巡检：采集覆盖关键链路、设备 CPU 正常

小结

流量分析的验收：能回答"刚才谁占了 100M 带宽"和"这台服务器在和哪些外部 IP 通信"。这两个问题能答，平台就有价值。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。