[发明专利]网络流量分析方法和设备

说明书

技术领域

本发明涉及网络技术领域，尤其涉及一种网络流量分析方法和设备。

背景技术

随着网络的应用越来越广泛，网络规模也日渐增长，网络中承载的业务也越来越丰富。企业需要及时的了解到网络中承载的业务，掌握网络流量特征、网络用户特征，以便使网络带宽配置最优化，并及时解决网络性能问题。通过对网络流量的分析，可以帮助企业了解内部网络的运行状况，及时发现并解决网络中的性能瓶颈问题、网络异常现象，也能方便企业进行网络优化、网络设备投资、网络带宽优化等的参考，并方便网络管理员及时解决网络异常问题。

网络流量分析可以对两种类型的日志进行处理分析：

1、支持网络流量统计的网络设备，将流量日志如NetStream、NetFlow、sFlow等以UDP(User Datagram Protocol，用户数据报协议)包的形式发往NTC(NetTraffic Collector，网络流量采集器)，NTC将日志处理入库。

2、探针式采集器可以直接从设备的镜像端口或通过TAP(Test AccessPoint，测试接入点)分流器采集网络流量信息，并通过流分类和统计，生成流量日志，并处理入库。

网络流量分析功能对上述两类日志进行流量分析实现网络监控、趋势分析、应用监控、用户监控、网络规划等功能。

图1是现有技术中一个网络流量分析的典型示意图，网络流量分析系统包括三个部分，NTE(NetTraffic Exporter，网络设备)、NTC、NTP(NetTrafficProcessor，流量数据分析器)。处理流程如下所述：对于支持网络流量分析的NTE，NTE直接将流量日志(如NetStream、NetFlow、sFlow等)发送给NTC，NTC接收日志。对于NTE支持端口镜像，NTC能直接从镜像端口收集网络流量信息。NTP对NTC接收的日志从不同角度进行深度分析和加工处理。

当网络中存在海量流量数据，超过了网络流量分析设备的处理能力时，将导致网络流量分析系统的延迟，不能及时的反映网络状况，这就必然要求对设备或探针式采集器对数据进行抽样，以减少数据量，增强网络流量分析的实时性。目前，在大数据量下，对于设备/探针式采集器的抽样方法主要有如下几种：固定包数采样，即按照抽样比采样；固定时间周期采样，即以设定的时间周期为基准进行采样；探针式采集器自适应采样，即探针式采集器可根据其接收日志性能，自动调整采样比。

当前的设备和探针式采集器抽样实现方案存在如下缺陷：

固定包数采样和固定时间周期采样本质上是随机采样方法，不利于网络日志审计，流量趋势不能反映实际情况，特别是短暂性流量高峰情况。另外，上述的几种抽样方法只考虑了设备和采集器的性能，而并未考虑NTP的性能要求，因此可能导致网络流量设备和网络流量采集设备达到了性能要求，但网络流量分析设备未达到性能要求，从而导致了网络流量分析系统的延迟，不能及时的反映网络状况。

发明内容

本发明提供一种网络流量分析方法和设备，用于将网络设备发送的数据和网络流量采集设备采集的网络流量数据同时控制在网络流量分析设备的性能指标内，避免整个网络流量分析系统因网络流量过大而导致的延迟。

为达到上述目的，本发明提供一种网络流量分析方法，应用于包括网络流量设备NTE、网络流量分析设备NTP以及网络流量采集设备NTC的网络，包括以下步骤：

NTP对NTC处理的数据进行流量分析，根据分析结果以及当前NTC使用的第一采样粒度，获取第二采样粒度；

所述NTP通知NTE以及NTC根据所述第二采样粒度进行采样。

其中，所述NTP对NTC处理的数据进行流量分析，根据分析结果以及当前NTC使用的第一采样粒度，获取第二采样粒度的步骤具体包括：

所述NTP将NTC在特定时间内处理入库后的数据进行深度分析处理，获取分析处理所耗时间占所述NTP流量分析执行周期的百分比；

所述NTP根据所述百分比以及第一采样粒度，获取第二采样粒度。

其中，所述NTP通知NTE以及NTC根据所述第二采样粒度进行采样后，还包括：

所述NTP接收所述NTC返回的调整后的采样粒度；

所述NTP将所述调整后的采样粒度保存为第一采样粒度。

其中，所述NTC返回调整后的采样粒度的步骤具体包括：

所述NTC比较所述第二采样粒度与当前使用的第一采样粒度；

所述第二采样粒度大于等于所述第一采样粒度时，所述NTC使用所述第二采样粒度作为调整后的采样粒度；否则保持所述第一采样粒度作为调整后的采样粒度。