校园网流量监控与异常处理.docVIP

校园网流量监控与异常处理 　　(河南省轻工业学校 信息系,河南 郑州 450006) 　　摘要:随着校园网规模的扩大,安全威胁越来越多,流量监控显得日益重要,重要。该文阐述了对校园网进行流量监控的方法,重点介绍了MRTG的使用,并对各种可能出现的流量异常进行了分析,并给出了解决办法。 　　关键词:MRTG;流量监控;流量异常 　　中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)28-7886-02 　　Traffic Monitoring and Treatment of Anomaly Traffic In Campus Network 　　SONG Bin 　　(Henan Light Induststy School, Zhengzhou 45006, China) 　　Abstract: With the development of campus network,the problem of network security becomes more and more severe. Traffic monitoringbecomes more and moreimpormant。The article elaboratestraffic monitoring methods incampus network, focusing on the use of MRTG, and analysises a variety of possibleAnomaly Traffic, and gives solutions. 　　Key words: MRTG; traffic monitoring; anomaly traffic 　　1 校园网概况 　　随着校园网的快速发展,校园网网络规模不断扩大,各种新型应用不断增加,如各种p2p的应用,音视频点播服务等等,对网络管理的要求越来越高,而另一方面校园网中的安全威胁(如DDOS、蠕虫、恶意代码等)却越来越多。这就需要对校园网流量进行监控,以便随时发现流量异常,及时定位引起网络异常情况的源头,有效地控制异常流量的蔓延,及时有针对性地采取措施,以避免网络阻塞。同时合理地分配带宽,保障主要业务的正常开展。 　　2 流量监控方法 　　流量监控一般有几种方式可以采用,第一种是使用Sniffer Portable,可以装在PC机或笔记本上,对包的解码和分析能力很强大,资源耗费大,适合局部网络。需要对交换机进行端口映射,连接到映射端口上,就可以监控其他端口流量了。Sniffer Portable可以实时采集多种数据并保存到数据库中,同时可以通过其分析部件实时监视和显示这些数据的统计信息。没有硬件支持的话不能用于千兆以上的网络。第二种是流量探针,标准流量探针由Manager和Agent组成,Agent 通常是由物理上的硬件设备来实现。一个Agent按照RMON标准监视一个子网(通常是一条链路)的流量信息,Manager通过SNMP从Agent获得测量数据。流量探针价格昂贵,不适合大面积安装,比较适合在汇聚层或接入层的某些重要节点内部实施。第三种是使用netflow,NetFlow是Cisco公司提出的网络数据包交换技术,它同时可用来记录网络流信息。NetFlow记录的流包含了丰富的信息,非常适合于网络性能分析。可以为流量分布、业务分布等性能分析提供最充足的数据,但需要消耗一定的路由器资源(CPU和内存)且不能实时捕捉数据包。思科的设备支持netflow技术。netflow需要一台UNIX工作站作为流的收集工作站,所有路由器或交换机上发送的NetFlow流都将送到此工作站集中,方便处理和分析。第四种是MRTG,优点是结果采用Web方式输出方便实用,而且是免费产品,在世界各地有很多的开发人员不断对其升级和改进。 缺点是功能较单一,分析功能不强,其收集到的流量信息是端口的统计信息,不能用于复杂的分析,但进行监控很方便,能不受干预,连续工作,支持设备很广泛,也由于全免费,采用的用户较多,可以在UNIX下和NT操作系统下使用。 　　3 MRTG的使用 　　MRTG常常被用来收集网络节点端口流量统计信息,可以监视网络链路流量负荷,它将真实流量数据统计信息通过HTML页面实时输出,使得维护人员可以迅速地发现网络的故障和可能发生故障的节点。可以在网络各重要节点部署安装,如在各主要部门出口部署安装。可以提供各种统计时间的统计图表,如一天(基本时长为5分钟)、一周(基本时长为30分钟)、一月(基本时长为2小时)等。统计的时间越长,就越能反映出网络的真实状况和网络流量的变化规律。短时间统计可以用来帮助维护和分析网络故障,长时间统计可以为规划设计提供科学可靠的