Sự khác biệt giữa netFlow và sFlow là gì?

22

SFlow khác với netFlow như thế nào và mỗi nhà cung cấp được hỗ trợ bởi các nhà cung cấp khác nhau như thế nào?

monitoring netflow sflow

— Benjamin A.
nguồn

22

NetFlow là một giao thức để xuất tổng số luồng IP tổng hợp. Vì vậy, nó rất phù hợp với kế toán lưu lượng IP trên các bộ định tuyến Internet. Với Netflow V9 (AKA IPFIX, nó cũng có thể xem xét lưu lượng của Lớp 2)

sFlow là một công nghệ hệ thống đo lường lưu lượng mạng mục đích chung. sFlow được thiết kế để được nhúng trong bất kỳ thiết bị mạng nào và cung cấp số liệu thống kê liên tục trên bất kỳ giao thức nào (L2, L3, L4 và lên đến L7), để tất cả lưu lượng truy cập trên toàn mạng có thể được mô tả và giám sát chính xác. Những thống kê này rất cần thiết cho việc kiểm soát tắc nghẽn, xử lý sự cố, giám sát an ninh, lập kế hoạch mạng, v.v. Chúng cũng có thể được sử dụng cho mục đích kế toán IP.

Netflow phản ánh tất cả lưu lượng và đặt tải lên CPU khi được sử dụng.

SFlow là một công nghệ lấy mẫu gói trong đó công tắc thu giữ mọi gói thứ 100 (có thể định cấu hình) trên mỗi giao diện và gửi nó đến bộ sưu tập. sFlow được tích hợp vào ASIC và đặt tải tối thiểu lên CPU.

Netflow được hỗ trợ bởi Cisco, Juniper, Alcatel Lucent, Huawei, Enterasys, Nortel, VMWare

sFlow được hỗ trợ bởi Alaxala, Alcatel Lucent, Allied Telesis, Arista Networks, Brocade, Cisco, Dell, D-Link, Enterasys, Extreme, Fortinet, Hewlett-Packard, Hitachi, Huawei, IBM, Juniper, LG-Ericsson, Mellanox, MRV, NEC, Netgear, Pro xấp xỉ không dây, Máy tính Quanta, Vyatta, ZTE và ZyXEL ( xem liên kết sFlow )

— Jez
nguồn

1

Khái niệm lấy mẫu áp dụng cho netflow / ipfix giống như với sflow

— Brad Hein

Lấy mẫu sang một bên, hai gói từ cùng một lưu lượng sẽ khác nhau như thế nào trên Netflow và sFlow. Có thể so sánh chúng với một gói thô từ say, tcpdump? Sự khác biệt vẫn không rõ ràng đối với tôi.

— Nagev

7

Sự khác biệt duy nhất là "NetFlow là độc quyền của Cisco, sFlow không" không chính xác.

NetFlow ban đầu là công ty độc quyền của Cisco, nhưng đã đi theo cách tương tự như GRE hoặc EIGRP. Kể từ NetFlow v5, nó đã được triển khai và hỗ trợ trên phần cứng của các nhà cung cấp khác.

Sự khác biệt chính giữa NetFlow và sFlow là NetFlow chỉ bị giới hạn ở IP, trong khi sFlow có khả năng lấy mẫu mọi thứ (độc lập với lớp mạng).

EDIT: Những điều trên dường như không còn đúng nữa (ít nhất là theo tiêu chuẩn IPFIX). Tôi đã tìm thấy bài đăng trên blog sau đây (cảnh báo: dường như là một URL cụ thể "dòng chảy", do đó, hãy lấy nó bằng một hạt muối nếu bạn muốn) thực hiện khá tốt việc phác thảo sự khác biệt giữa thông số IPFIX và sFlow

— John Jensen
nguồn

4

NetFlow v9 và v10 (IPFIX) gửi tin nhắn mẫu định kỳ cho biết cách đọc các mẫu, mẫu này rất linh hoạt và có thể được mở rộng tùy ý. iana.org/assignments/ipfix/ipfix.xml cho thấy những gì hỗ trợ tiêu chuẩn ngày nay và ethertype, dmac, smac, v.v. đã có sẵn. sFlow otoh là tĩnh, nếu sFlow5 không hỗ trợ những gì bạn muốn làm, bạn cần giao thức sFlow hoàn toàn mới, trong khi trong IPFIX, bạn không cần phải thay đổi giao thức.

— ytti

Rất thú vị! Cảm ơn các liên kết. Cho thấy tôi đã theo kịp NetFlow đến mức nào. :-) Tôi tự hỏi những gì sFlow đã xuống pike. Có vẻ như "người hâm mộ sFlow" sẽ chỉ nói "bất cứ điều gì qua Ethernet" như là một đối số để phải xác định các trường IPFIX mới. Ngoài ra còn có nhiều thuật toán lấy mẫu mà NetFlow / IPFIX sử dụng so với sFlow chỉ là một thuật toán.

— John Jensen

1

Là một FYI, luồng mạng L2 có sẵn trên một số nền tảng của Cisco với việc sử dụng v9 hoặc gần đây hơn là IPFIX.

— rnxrx

Cảm ơn nhưng điều này đã được chỉ ra trong các ý kiến trên. :-)

— John Jensen

1

Một nhà cung cấp độc lập có kiến thức sâu về chủ đề này nói điều này: plixer.com/blog/netflow/ ,. Bạn cũng nên xem xét nếu một nền tảng nhất định chạy NetFlow / sFlow trong phần cứng hoặc phần mềm.

— generalnetworkerror

2

Các thiết bị của Cisco cố gắng tổng hợp các luồng (bạn có thể coi chúng là các cuộc hội thoại) và sau đó xuất thông tin về chúng cho người thu thập. Điều này đòi hỏi bộ nhớ để lưu trữ những cái này.

sFlow có hai thành phần chính: một trong đó nó sẽ xuất định kỳ các số liệu thống kê như bộ đếm giao diện và mức sử dụng CPU cho bộ sưu tập và một thành phần sẽ chụp ngẫu nhiên 1 khung hình N (có thể định cấu hình, thường là 512 đến 32768) đi qua bộ định tuyến và xuất 256 byte đầu tiên. Sau đó, bạn có thể thực hiện phân tích thống kê về lưu lượng truy cập qua mạng của mình.

Các mẫu gói sFlow được tăng cường với thông tin từ bảng định tuyến, chẳng hạn như đường dẫn AS. Nó cũng là thuyết bất khả tri v4 và v6, không giống như NetFlow, điều này buộc bạn phải thỏa hiệp không thoải mái tùy thuộc vào loại dữ liệu bạn muốn nhận.

NetFlow bị ảnh hưởng từ thời kỳ mà việc định tuyến dựa trên dòng chảy chưa được coi là một trò đùa; sFlow không phải là định dạng TLV nên việc triển khai các tiện ích mở rộng của nhà cung cấp theo cách di động là gần như không thể.

— Niels
nguồn

Một số nhận xét sai lệch ở đây ... NetFlow sử dụng bộ đệm và nó có thể được tổng hợp / không tổng hợp, lấy mẫu hay không - đó là những đặc điểm của dữ liệu bạn thu thập và tùy thuộc vào bạn để xác định dữ liệu it.NetFlow cũng có thể chứa dữ liệu " như các đường dẫn AS "và nó không phải là khác biệt sFlow và không bao giờ là.NetFlow chỉ được tạo nguyên mẫu như các giải pháp chuyển đổi dòng chảy, nó gần như ngay lập tức được chuyển sang cơ chế thu thập thông tin. Về mặt khác biệt thực sự, có sự khác biệt lớn trong lấy mẫu: trong lấy mẫu sFlow là thực hiện trên mỗi gói, không phải mỗi luồng, bạn ngay lập tức mất độ chính xác. Xem trong kho lưu trữ cisco-nsp @.

— Łukasz Bromirski

0

Netflow là một giao thức độc quyền của Cisco và như vậy không được hỗ trợ bởi bất kỳ thứ gì ngoài các thiết bị của Cisco.

sFlow là một tiêu chuẩn IETF để thực hiện khá nhiều điều tương tự nhưng trong một tiêu chuẩn không thuộc sở hữu của một nhà sản xuất cụ thể.

— David Rothera
nguồn

2

AFAIK sFlow không còn là IETF mà là sản phẩm của 'sFlow Consortium'. IPFIX là netflow v9 tiêu chuẩn IETF (số phiên bản được chuyển sang v10 và các thay đổi nhỏ). Tôi đoán sự khác biệt lớn là dòng chảy xuất gói đơn (với phương pháp lấy mẫu được xác định rõ) và bạn sẽ thực hiện phép ngoại suy, trong khi IPFIX / netflow có thể làm nhiều việc khác, bao gồm cả điều đó, nhưng cũng có thể tổng hợp dữ liệu cho bạn. Tôi muốn nói netflow / IPFIX linh hoạt hơn nhiều, điều đó cũng có nghĩa là bạn có thể triển khai netflow / IPFIX trong thiết bị của mình theo cách khiến nó trở nên vô dụng, trong khi dòng chảy khá nghiêm ngặt trong cách thực hiện.

— ytti