IPFIX手艺白皮书V1.0

IPFIX全称为IP Flow Information Export，即IP数据流信息输出，它是由IETF宣布的用于网络中的流信息丈量的标准协议。

宣布时间：2009-09-25
点击量：
点赞：

分享至

我想谈论

1 IPFIX手艺概述

1.1 IPFIX手艺概况

基于流的手艺被越来越普遍地用于描绘网络传输流，它在设置QoS战略、安排应用和举行容量妄想上都有着重大的价值。可是，网络管理员却缺少一种输出传输流的标准名堂。
IPFIX全称为IP Flow Information Export，即IP数据流信息输出，它是由IETF宣布的用于网络中的流信息丈量的标准协议。该协议主要在于：

统一IP数据流的统计、输出标准，这使得网络管理员很容易地提取和审查存储在这些网络装备中的主要流量统计信息。

输特殊式具有较强的可扩展性，因此若是流量监控的要求爆发改变，网络管理员也可通过修改响应设置来实现，不必升级网络装备软件或管理工具。

IPFIX界说的名堂以Cisco Netflow Version 9数据输特殊式作为基础，可使IP流量信息从一个输出器（Exporter）传送到网络器（Collector）。由于IPFIX是一种针对数据流特征剖析、基于模板的名堂输出的协议，因此具有很强的可扩展性，关于差别的需求都可以界说差别的数据名堂。

为了较完整的输出数据，IPFIX缺省使用网络装备的七个要害域来体现每股网络流量：

源 IP 地址

目的 IP 地址

TCP/UDP 源端口

TCP/UDP 目的端口

三层协议类型

服务类型（Type-of-service）字节

输入逻辑接口

若是差别的 IP 报文中所有的七个要害域都匹配，那么这些 IP 报文都将被视为属于统一股流量。通过纪录网络中这些流量的特征，如流量一连时间、流量中报文平均长度等，我们可以相识到目今网络的应用情形，并凭证这些信息对网络举行优化，清静检测，流量计费。

1.2 IPFIX手艺组网

IPFIX是基于“流”的看法，一个流是指，来自相同的子接口，有相同的源和目的IP 地址，协议类型，相同的源和目的协议端口号，以及相同ToS的报文，通常为5 元组。IPFIX会纪录这个流的统计信息，包括：时间戳，报文数，总的字节数。

IPFIX主要包括三个装备Export、Collector、 Analyzer，三个装备之间的关系如下图所示。

97国际·(中国区)集团官方网站

图1-1

Export对网络流举行剖析处置惩罚，提取切合条件的流统计信息，并将统计信息输出给Collector

Collector认真剖析Export的数据报文，把统计数据网络到数据库中，可供Analyser举行剖析。

Analyser从Collector中提取统计数据，举行后续处置惩罚，为种种营业提供依据,以图形界面的形式显示出来

1.3 IPFIX手艺价值

1. IPFIX统一了流量监控标准，通过使用简单的、一致的模子，简化了流输出架构。

随着IPFIX标准更普遍地为网络装备厂商接纳，网络管理员不必再为支持多个流报告应用而操心，每个应用都有自己的流输特殊式。IPFIX让他们可以使用一个切合这项标准的流报告应用程序。别的，IPFIX的可扩展性使得网络管理员不必在传输流监测或报告需求爆发转变时修改或升级装备设置。

2. IPFIX标准关注网络升级时的流输出可扩展性。

随着MPLS、IPv6和多播路由等网络手艺的日益普及，管理员也需要更好地相识它们对网络情形的影响，这种可扩展性就变得越来越主要。为了确保这种可扩展性的轻松实现，IPFIX兼容装备将输出模板，这些模板详细说明那些为输出而设置的流“特征”。流的收罗和报告应用程序可以被用来读取这些模板，以相识哪些“特征”被输出，因此网络管理员不需要调解应用程序设置。

3. IPFIX RFC界说了差别的流输出应用，包括基于使用的统计、传输流漫衍、传输流工程、攻击/入侵检测和QoS监测。

例如，支持IPFIX的流报告应用程序通过读取服务类型字节约“特征”，可以显示每一个品级的QoS服务会消耗几多网络传输流。别的，流量报告应用还可以显示应用和用户怎样凭证服务类型战略分类。支持IPFIX攻击/入侵检测的应用将能够提供基准协议（Baseline）和地址数据来确定网络异常征象。

4. IPFIX形貌关于流量输出至关主要的众多规则，包括时间戳、时间同步、流终止、数据包分段和多播盛行为。

例如，传送多播应用流的IPFIX兼容装备应当输出反应每一个进入装备接口的流纪录。别的，这类装备应当输出通过多播传送给统一台装备上所有输出接口每个数据包的流纪录。同使用多播输出行为一样，RFC中列出的其他规则使网络装备厂商可以更好地相识IPFIX标准的支持要求,以及它怎样在已有的手艺中实现集成。

2 97国际网络IPFIX手艺实现

2.1 IPFIX手艺基本看法

Observation Point、Observation Domain（视察点、视察域）

捕获IP报文的地方。详细到装备上，视察点可以指定到交流机或路由器的每个端口上，视察域则体现视察点的组合，即线卡、硬件�？榈�。

Metering Process（测定历程）

IP数据流的剖析处置惩罚历程。

输入：IP数据流。

输出：Flow Records。

Exporting Process（输出历程）

对流纪录举行处置惩罚，整理成IPFIX报文输出。

输入：Flow Records。

输出：封装成IPFIX报文发送。

Sampling Functions（采样功效）

Metering Process中的采样功效，可以对数据流举行N:1的采样，以便对IP数据流举行缩减，在准确度要求不高的场合，镌汰处置惩罚肩负。

Filter Functions（过滤功效）

Metering Process中的过滤功效，可以对数据流举行报文过滤，过滤掉管理员不必体贴的报文。理论上可以重复举行采样、过滤的几个处置惩罚，直到筛选出合适的IP数据流。

Collecting Process

IPFIX报文的吸收处置惩罚。Collector认真处置惩罚的历程，网络装备可不体贴。

2.2 IPFIX手艺实现

97国际网络是在RG-S8600、RG-S9600高端交流机上实现IPFIX功效，使用多营业卡来举行IP报文的剖析处置惩罚。

主引擎：主要认真与其他�？橹卮蟮慕换�。详细认真设置管理、传输层协议封装、发包。

多营业卡：高性能的NP板，高效率IP报文剖析、统计，组装成IPFIX报文的DATA部分发给主引擎举行传输层封装。

97国际·(中国区)集团官方网站

图2-1

2.3 装备处置惩罚原理

关于网络装备来说，主要处置惩罚Metering Process 、Exporting process。团结基本看法中的名词，协议的流程概图如下：

97国际·(中国区)集团官方网站

图2-2

2.3.1 Metering Process

Observation Point收到报文后，直接进入Metering的处置惩罚，依序举行以下处置惩罚：

1. packet header capturing：

IPFIX并不需要处置惩罚所有的报文字段，凭证协议形貌，只要获取报文头（IP层头、传输层头）处置惩罚，IP报文可以继续给其他各协议处置惩罚。

2. timestamping：

给报文加上时间戳。

3. sampling：

采样：即每n个报文处置惩罚一个。好比设置1：100体现每100个报文选取一个给后续�？榇χ贸头�。若是是1：1，则体现处置惩罚所有报文。

4. filtering：

过滤：凭证管理员的要求，IPFIX可能只针对某一类报文举行后续处置惩罚，其他报文不再举行IPFIX处置惩罚�？梢酝ü鼳CL列表来实现这个需求。

5. loopback：

处置惩罚完一次的sampling、filtering，还可以凭证管理员设置需求，举行多次的sampling、filtering操作（算法可以差别）�？梢灾馗瓷秆〕龉芾碓彼枰谋ㄎ�。

6. 天生flows

经由上述处置惩罚，已经获获得管理员想要的IP报文，就可以天生流纪录给Exporting Process处置惩罚。

流纪录举例如下：

97国际·(中国区)集团官方网站

2.3.2 Exporting Process

收罗到流纪录后，就可以组装报文发送了。这其中没有太多的手艺点，但出于设置管理需求，协议约定还可凭证管理员的特定设置举行更无邪的输出。

以下是Exporting Process的几个办法流程：

1. 选择模板、流纪录（可�。�

2. 组装报文中的控制信息和数据信息。

控制信息包括：视察点的域ID（用来标识视察设惫亓看法域）、采样算法、采样距离等等，这些信息能协助服务器还原数据流图，统一单位显示。

数据信息就是打包好的流纪录、模板等信息。

3. 输出IPFIX Message

4. 传输层协议封装输出

2.4 97国际网络IPFIX手艺特点

97国际·(中国区)集团官方网站

图2-3

1. 预处置惩罚阶段，IPFIX可以首先凭证网络管理的需要对特定级别的数据流举行过滤或对高速网络端口举行数据包抽样，这样可以在确保需要的管理信息被收罗和统计的同时，镌汰网络装备的处置惩罚负荷，增添全系统的可扩展性。

2. 接纳高性能的NP多营业卡举行高效率IP报文剖析、统计，包管IPFIX报文高效传输。

3. 原始统计信息举行多种形式的数据汇聚，只把汇总后的统计效果发送给上层管理服务器。由网络装备举行原始统计信息的汇聚可以大大镌汰网络装备输出的数据量，降低对上层管理服务器的设置要求，提高上层管理系统的扩展性和事情效率。

3 IPFIX手艺应用

Usage-based Accounting（基于使用流量的计费）

以往在网络运营商中的流量计费一样平常只是简朴的基于每用户的上传、下载流量。由于IPFIX可以准确到目的IP、协议端口等字段，以后的流量计费就可以基于应用服务的特点来分段收费。

97国际·(中国区)集团官方网站

虽然，协议中也说明晰，IPFIX是报文统计是“采样”的，在许多应用场合（如主干层），数据流统计并不是越细腻越好，出于网络装备的性能思量，采样率不可过小，因此并不需要提供完全准确可靠的流量计费。但在网络运营商级别，计费单位一样平常都是百兆以上，IPFIX的采样精度能知足相关需求。

Traffic Profiling、Traffic Engineering：流量概图、流量工程

通过IPFIX Exporter的纪录输出，IPFIX Collector可以以种种图表形式输出很是富厚的流量纪录信息，这就是Traffic Profiling的看法。

然而，只是信息的纪录，还无法使用IPFIX的强盛功效，IETF同时推出了Traffic Engineering的看法：在现实运营网络中，经通例划了负载平衡和冗余备份，但种种协议一样平常都是按网络妄想时预定的蹊径、或协议原理举行调解。

而若是接纳IPFIX监控网络中的流量，发明某段时间某些数据流较大，可以汇报给网络管理员举行流量调解，以分派、调解更多的网络带宽供应相关应用服务使用，镌汰负载不均的情形爆发。甚至于，可以更智能把路由调解、带宽分派、清静战略等设置规则直接绑定到IPFIX Collector上的操作上，自动完成网络流量调解。

Attack/Intrusion Detection：攻击/入侵检测

从上述第二点的形貌，我们也已经能推理出IPFIX可以凭证流量特点，举行网络攻击的检测（好比典范的IP扫描、端口扫描、DDOS攻击）。而采样标准的IPFIX协议，还可以像一样平常主机端病毒防护一样，接纳“特征库”升级来阻止最新的网络攻击。

QoS Monitoring：网络服务质量的监控

典范的QOS参数有：

丢包情形：loss [RFC2680],

单向延时：one-way delay[RFC2679]

往返延时：round-trip delay [RFC2681]

延时转变：delay variation [RFC3393]

以往的手艺很难实时地监控上述信息，而通过IPFIX的种种自界说字段、监控时间距离就可以很容易的监控种种报文的上述数值。

这一点是IPFIX较量深入的应用，现在看属于未来手艺。IETF还建设了IPPM（IP Performance Metrics）事情组配合相关偏向的标准推进。

4 总结

IPFIX作为现在标准化的一种网络流量监控标准，统一了流量监控标准，通过使用简单的、一致的模子，简化了流输出架构，它为高速网络用户带来价值，现在此标准逐渐被多个厂家的网络装备所支持。现在97国际网络在部分以太网装备上已经提供了IPFIX功效，后续也会在网络管理和监控方面提供越发富厚的功效，以知足网络用户在网络管理、网络妄想、网络监控方面的需求。