NetFlow与sFlow流量分析：从通不通到谁在用
导语：Ping 通只说明链路在，NetFlow/sFlow 才告诉你带宽被谁吃掉了。
一、为什么要关注（背景与痛点）
某企业园区出口月初拥堵，却说不清是备份还是视频；扩容前需依据真实流量画像。NetFlow/sFlow 以流为单位统计源/目的/端口/字节，是容量规划与异常检测的基石，把"感觉慢"变成"看得到"。
二、核心原理 / 关键概念
- NetFlow：逐流缓存（五元组+计数），设备采样后发收集器，适合精细计费。
- sFlow：越设备随机采样报文头，开销低、近实时，适合大吞吐。
- 与 SNMP 的区别：SNMP 给端口级计数，流分析给会话级画像。
- 多厂商客观对比：
| 维度 | 华为 | 新华三(H3C) | 锐捷 | 思科 | 迈普 | 信创国产 |
|---|---|---|---|---|---|---|
| 支持 | NetStream/sFlow | NetStream/sFlow | sFlow | NetFlow | sFlow/NetStream | 同 |
| 采样 | 可配 | 可配 | 可配 | 可配 | 可配 | 可配 |
| 适用场景 | 全 | 全 | 全 | 全 | 多场景 | 信创环境 |
注：各厂商命令语法略有差异。
三、落地做法 / 操作步骤
- 设备上开启采样指收集器 IP/端口。
- 示例（思路，思科风格）：
ip flow-export destination 10.0.0.50 9995
interface Gi0/1
ip flow ingress
sFlow 多为 sflow collector + agent。各厂商命令语法略有差异。
四、网络如何为数据存储/备份提供安全底座
对存储 VLAN 与备份链路开启流分析，可量化信创云盘每日同步流量峰值，据此规划专线带宽、错峰备份。异常大流（如某主机疯狂外传）可被快速识别，配合 ACL 封堵。网络以"可视"为备份与数据安全提供决策依据。
五、常见误区 / 避坑提醒
- 采样率过低漏掉小流，过高压垮设备。
- 只在出口开，内网横向威胁看不见。
- 收集器无容量规划，数据丢失。
- 把流数据当证据却未与时间源对齐。