维普资讯 http://www.cqvip.com 企肥学统学扳（自然科学版） Ｊｏｕｒｎａｌ ｏｆ Ｈｅｆｅｉ Ｕｎｉｖｅｒｓｉｔｙ（Ｎａｔｕｒａｌ Ｓｃｉｅｎｃｅｓ） ２００７年５月第ｌ７卷第２期 Ｍａｖ ２ＯＯ７ Ｖｏ１．１７ Ｎｏ．２ ＮｅｔＦｌｏｗ技术及其在高校网络管理中的应用研究 夏光峰 （合肥工业大学计算机与信息学院，合肥２３０００９） 摘 要：随着校园网的建设和应用的推进，对网络管理提出了更高的要求，比较基于ＳＮＭＰ等技术的常规网络管 理手段，ＮｅｔＦｌｏｗ是一种可以从更深层面了解网络应用状况、进行安全管理和规划的技术．从ＮｅｔＦｌｏｗ技术特点和 体系架构的研究入手，通过实例介绍了在校园网管理中应用ＮｅｔＦｌｏｗ技术的方法． 关键词：ＮｅｔＦｌｏｗ；数据采集；应用分析 中图分类号：ＴＰ３９３．１８ ， 文献标识码：Ａ 文章编号：１６７３—１６２Ｘ（２００７）０２—０６７－０５ 近１０年的网络建设，许多高校的校园网络都已具有了一定规模，网络教学与网络办公等应用的开展 使得用户对网络的依赖性越来越强，日益增长的网络用户、接人设备、不容乐观的网络安全现状，都给校园 网络平均无故障运行时间的提高带来了压力，网络管理人员必须能够及时了解网络的运行状况，及时找出 问题，甚至应当在问题还没有完全显现之前就应当有所反应． 传统的校园网络管理通常是使用网络管理工具从支持ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏ１）的 网络设备搜集网络流量数据，虽然通过这种方式取得信息不会造成处理上过重的负担，但是ＳＮＭＰ提供的 只是粗糙、简略的资料，这些信息只能让管理者发现部分问题，有时却无法进一步解决问题．如ＭＲＴＧ是 学校常用的网管工具，ＭＲＴＧ把ＳＮＭＰ所需要的数据经过计算后绘成图表，常用来显示网络流量统计图 （严格来说ＭＲＴＧ只具有网管软件中的一小部分功能），开源的ＣＡＣＴＩ虽然功能强大一些，但也只是属于 图形化网络流量、负载监控的工具软件．商业化的网管软件ＨＰ的ＯｐｅｎＶｉｅｗ，ＩＢＭ的ＮｅｔＶｉｅｗ等系统强调 的是一个整合型的网络管理解决方案，提供基本的网络拓扑功能、ＭＩＢ Ｂｒｏｗｓｅｒ、ＳＮＭＰ ｔｏｏｌ、Ｄａｔａ Ｃｏｌｌｅｃｔｉｏｎ、 绘图与网络事件等管理功能，一方面这些软件都非常昂贵，另一方面也只能提供拓扑连接、流量展示、告警 预设等功能，提供的信息量也是有限的．近几年随着校园网络的规模日渐增长，网络承载的业务越来越丰 富，校园网运营和管理者都普遍面临如下一些问题： （１）网络的可视性：网络资源是如何被消耗的？哪些应用程序在网络中运行？主要用户有哪些？网 络中是否产生异常流量？网络出口为何拥塞，有没有长期的趋势数据用作网络带宽规划？ （２）应用的可视性：当前网内有哪些应用？分别产生了多少流量？网络中应使用的模式是什么？网 络教学等学校重要应用执行状况如何？ （３）用户使用网络模式的可视性：流量从哪来，到哪里去？用户在什么时间具体有哪些应用？哪些用 户产生的流量最多？哪些服务器接收的流量最多？ 以ＢＴ为主的网络滥用、病毒等问题已经成为高校网络管理者普遍面临的难题，单纯提高网络带宽、 部署网络防毒不是根本解决问题的方法，ＮｅｔＦｌｏｗ是一种能够提供深层次网络流量相关信息的技术，网管 人员通过ＮｅｔＦｌｏｗ信息的收集和分析可以快速有效地掌握所管辖网络的状态，从而为校园网络的规划和 安全问题的解决提供依据和帮助． １ ＮｅｔＦｌｏｗ技术分析 １．１ ＮｅｔＦｌｏｗ技术的由来ＮｅｔＦｌｏｗ技术是在１９９６由Ｃｉｓｃｏ公司的Ｄａｒｒｅｎ Ｋｅｒｒ和Ｂａｒｒｙ Ｂｒｕｉｎｓ提出，最 初是设计作为一个缓存机制来改善访问列表的处理速度，ＣＥＦ（Ｃｉｓｃｏ Ｅｘｐｒｅｓｓ Ｆｏｒｗａｒｄｉｎｇ，Ｃｉｓｃｏ快速转发） 技术的使用一度使得ＮｅｔＦｌｏｗ被边缘化，直到网络管理人员意识到这些统计信息对网络工程和网络安全 的价值．目前该技术得到了众多网络设备提供商的支持，业内常见的主流Ｆｌｏｗ格式如表１所示． 收稿日期：２００７—０１—３Ｏ 修回日期：２００７—０３—２９ 作者简介：夏光峰（１９７０一）男，安徽合肥人，合肥工业大学计算机与信息学院在读研究生，合肥学院现代教育技术中心讲师 维普资讯 http://www.cqvip.com 合肥学院学报（自然科学版） 第ｌ７卷 表１ 主流厂商网络流技术对比 大部分Ｃｉｓｃｏ路由器和Ｃａｔａｌｙｓｔ ４５００以上系列的交换机都支持ＮｅｔＦｌｏｗ，目前ｖ５版本使用较为普遍， ｖ７版本是思科Ｃａｔａｌｙｓｔ交换机设备支持的一个Ｎｅｔｌｆｏｗ版本，需要利用交换机的ＭＬＳ或ＣＥＦ处理引擎， Ｖ８版本增加了网络设备对Ｎｅｔｌｆｏｗ统计数据进行自动汇聚的功能，降低了对数据输出的带宽需求．Ｎｅｔｌｆｏｗ ｖ９是一种全新的灵活和可扩展的Ｎｅｔｌｆｏｗ数据输出格式，采用了基于模板（Ｔｅｍｐｌａｔｅ）的统计数据输出，方 便添加需要输出的数据域和支持多种Ｎｅｔｌｆｏｗ新功能，如Ｍｕｈｉｃａｓｔ Ｎｅｔｌｆｏｗ，ＭＰＬＳ Ａｗａｒｅ Ｎｅｔｆｌｏｗ，ＢＧＰ Ｎｅｘｔ Ｈｏｐ Ｖ９，Ｎｅｔｆｌｏｗ ｆｏｒ ＩＰｖ６等，支持ＩＯＳ１２．０（２４）Ｓ和１２．３Ｔ及其后续ｌＯＳ版本．在２００３年思科公司的Ｎｅｔ— ｌｆｏｗ Ｖ９被ＩＥｒＩ’Ｆ组织从５个候选方案中确定为ＩＰＦＩＸ（ＩＰ ｎＯＷ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｘｐｏｒｔ）标准． １．２ ＮｅｔＦｌｏｗ技术原理ＮｅｔＦｌｏｗ本身是一套网络流量统计协议，其主要原理是根据网络数据包传输时， 连续相邻的数据包通常是往相同目的地ＩＰ地址传送的特性，配合Ｃａｃｈｅ快取机制，当网络管理者开启路 由器或交换机接口的ＮｅｔＦｌｏｗ功能时，设备会在接收数据包时分析其数据包的标头部分来取得流量资料， 并将所接到的数据包流量信息汇整成一笔一笔的Ｆｌｏｗ，在ＮｅｔＦｌｏｗ协议中Ｆｌｏｗ是被定义为两端点间单一 方向连续的数据流，这意味着每一个网络的连接都会被分别记录成两笔Ｆｌｏｗ数据，其中一笔记录从客户 端连到服务器端，另外一笔随着记录从服务 器端连回到客户端的信息．网络设备通过以 下字段来区分每一笔Ｆｌｏｗ：来源ＩＰ地址 （ｓｏｕｒｃｅ ＩＰ ａｄｄｒｅｓｓ）、来源端口号（ｓｏｕｒｃｅ ｐｏｒｔ ｎｕｍｂｅｒ）、目的ＩＰ位址（ｄｅｓｔｉｎａｔｉｏｎ ＩＰ ａｄｄｒｅｓｓ）、目的端口号（ｄｅｓｔｉｎａｔｉｏｎ ｐｏｒｔ ｎｕｍ— ｂｅｒ）、协议种类（ｐｒｏｔｏｃｏｌ ｔｙｐｅ）、服务种类 曩 （ｔｙｐｅ ｏｆ ｓｅｒｖｉｃｅ）及路由器输人接口（ｒｏｕｔｅｒ ｉｎｐｕｔ ｉｎｔｅｒｆａｃｅ）．任何时间当设备接收到新 的数据包时，会检测这７个字段来判断这个 数据包是否属于任何已记录的Ｆｌｏｗ．若有 则将新收集到的数据包的相关流量信息整 合到对应Ｆｌｏｗ记录中，若找不到数据包对 应的Ｆｌｏｗ记录，便产生一个新的Ｆｌｏｗ记录 图１ ＮｅｔＦｌｏｗ体系及工作原理示意 来储存相关的流量信息．由于设备内高速缓存的空间有限，无法无限制地容纳持续增加的Ｆｌｏｗ纪录，所以 ＮｅｔＦｌｏｗ协议也定义了终结Ｆｌｏｗ记录的机制，来维持网络设备中储存Ｆｌｏｗ信息的空间．整个系统的工作 原理如图１所示． ＮｅｔＦｌｏｗ采用了主动式数据推送机制，当Ｃａｃｈｅ表项超时后，网络设备中的ＮｅｔＦｌｏｗ Ａｇｅｎｔ将通过规范 的报文格式将超时表项数据送往指定主机（即ＮｅｔＦｌｏｗ Ｃｏｌｌｅｃｔｏｒ）．虽然ＮｅｔＦｌｏｗ在设计中可以接受任何传 输层协议作为承载协议，但在一般实现中通常都是采用ＵＤＰ作为缺省选择．输出的每个数据包约１ ５００字 节，通常含有２０～５０个流记录．Ｃｏｌｌｅｃｔｏｒ负责收集ＮｅｔＦｌｏｗ数据包，写人数据库，由相关流分析软件完成图 形化展示、ＴＯＰＮ查询以及预警等功能． 维普资讯 http://www.cqvip.com 第２期 夏光峰：ＮｅｔＦｌｏｗ技术及其在高校网络管理中的应用研究 ２ ＮｅｔＦｌｏｗ在校园网络管理中的应用 ２．１部署及配置ＮｅｔＦｌｏｗ可以部署在网络中的任何位置，出于统计效率的考虑通常部署在网络边缘和 核心，在较高端的边缘路由器上开启Ｎｅｔｌｆｏｗ可以考虑采用低的采样比，从而获取更准确的出口流量和应 用信息．在交换机上启用Ｎｅｔｏｗ可以收集ＶＬＡＮ间的通讯信息，ｌｆ但配置较为特殊，以思科核心交换机ｃｉｓ— ＣＯ ６５０９为例，首先需要在二层开启ｎｅｔ￣ｏｗ，设置老化时间、ｎｄｅ版本及抽样比等参数，之后在三层接口使 能ｎｅｔｆｌｏｗ，设置启用接口、Ｈｏｗ版本及Ｃｏｌｌｅｃｔｏｒ目的地址和端口号等．命令如下． 二层命令： ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｎｆｉｇ）＃ｍｌｓ ｎｅｔｆｌｏｗ ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｎｆｉｇ）＃ｍｌｓ ａｇｉｎｇ ｆａｓｔ ｔｉｍｅ ４ ｔｈｒｅｓｈｏｌｄ １２８ ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｎｆｉｇ）＃ｍｌｓ ａｇｉｎｇ ｌｏｎｇ ６４ ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｎｆｉｇ）＃ｍｌｓ ａｇｉｎｇ ｎｏｒｍａｌ ３２ ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｎｆｉｇ）＃ｍｌｓ ｆｌｏｗ ｉｐ ｉｎｔｅｒｆａｃｅ—ｆｕｌｌ ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｎｆｉｇ）＃ｍｌｓ ｎｄｅ ｓｅｎｄｅｒ ｖｅｒｓｉｏｎ ５ ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｎｆｉｇ）＃ｍｌｓ ｎｄｅ ｉｎｔｅｒｆａｃｅ ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｎｆｉｇ）＃ｍｌｓ ｓａｍｐｌｉｎｇ ｐａｃｋｅｔ—ｂａｓｅｄ ６４ ４０９６ 三层命令 ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｎｆｉｇ）＃ｉｎｔ ｖｌａｎ １０１ ｈｆｕｕ－－ｃｉｓｃｏ６５０９—－ｍａｓ（ｃｏｎｆｉｇ—－ｉｆ、＃ｉｐ ｒｏｕｔｅ—－ｃａｃｈｅ ｌｆｏｗ ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｎｆｉｇ）ｉｐ ｌｆｏｗ—ｅｘｐｏｒｔ ｓｏｕｒｃｅ ＶｌａｎｌＯ１ ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｒｄｉｇ）ｉｐ ｆｌｏｗ—ｅｘｐｏｒｔ ｖｅｒｓｉｏｎ ５ ｈｆｕｕ—ｃｉｓｃｏ６５０９一ｍａｓｔｅｒ（ｃｏｎｆｉｇ）ｉｐ ｆｏｌｗ—ｅｘｐｏｒｔ ｄｅｓｔｉｎａｔｉｏｎ ２１０．４５．８８．８５ ９９９６ 配置完成后可以使用下列命令显示当前Ｃａｃｈｅ中的流信息． ｈｆｕｕ－－ｃｉｓｃｏ６５０９—－ｍａｓｔｅｒ＃ｓｈｏｗ ｉｐ ｃａｃｈｅ ｆｌｏｗ ＩＰ ｐａｃｋｅｔ ｓｉｚｅ ｄｉｓｔｌｉｂｕｆｉｏｎ（７２４７７７９２ ｔｏｔａｌ ｐａｃｋｅｔｓ）： １—３２ ６４ ９６ １２８ １６０ １９２ ２２４ ２５６ ２８８ ３２０ ３５２ ３８４ ４１６ ４４８ ４８０ ５１２ ５４４ ５７６ ．０ｏ０．ｏ０４．９８４．０ｏ０．０ｏ０．０ｏ０．ｏｏ３．Ｏｏ４．０ｏ０．０ｏ０．ｏｏ１．０ｏｏ．０００．０００．０００．０００．０００．０００ １０２４ １５３６ ２０４８ ２５６０ ３０７２ ３５８４ ４０９６ ４６０８ ．０ｏＯ．０ｏＯ．０ｏＯ．ＯＯ０．０００．０００．０００．０００ ＩＰ Ｆｌｏｗ Ｓｗｉｔｃｈｉｎｇ Ｃａｃｈｅ，１０１５８７２ ｂｙｔｅｓ １３ ａｃｔｉｖｅ，１０２２７ ｉｎａｃｔｉｖｅ，２５６４５０９ ａｄｄｅｄ ９７１７１ １７６ ａｇｅｒ ｐｏｌｌｓ，０ ｆｌｏｗ ａｌｌｏｃ ｆａｉｌｕｒｅｓ Ａｃｔｉｖｅ ｆｌｏｗｓ ｔｉｍｅｏｕｔ ｉｎ ３０ ｍｉｎｕｔｅｓ Ｉｎａｃｔｉｖｅ ｆｌｏｗｓ ｔｉｍｅｏｕｔ ｉｎ ３０ ｓｅｃｏｎｄｓ ｌａｓｔ ｃｌｅａｒｉｎｇ ｏｆ ｓｔａｔｉｓｔｉｃｓ ｎｅｖｅｒ Ｔｏｔａｌ Ｈｏｗｓ Ｐａｃｋｅｔｓ Ｂｙｔｅｓ Ｐａｃｋｅｍ Ａｃｔｉｖｅ（Ｓｅｃ）Ｉｄｌｅ（Ｓｅｃ） —．—．—．—．—．—． Ｆｌｏｗｓ ／Ｓｅｅ ／Ｆｌｏｗ ／Ｐｋｔ ／Ｓｅｃ ／Ｈｏｗ ／Ｈｏｗ ＴＣＰ—ＦｒＰ ２９０９ ０．０ ５３ Ｏ．Ｏ ４．５ ２８．Ｏ ＴＣＰ—ＦＴＰＤ １Ｏ Ｏ．Ｏ ４８ Ｏ．Ｏ ６．２ １５．６ ＴＣＰ—ＷＷＷ １Ｏ５２２ Ｏ．Ｏ ４８ Ｏ．Ｏ ２．６ １５．２ ＴＣＰ—Ｏｔｈｅｒ ９２２５７ ０．０ ４９ Ｏ．Ｏ ５．６ ２５．９ ＵＤＰ—ＤＮＳ ９８７ ０．０ ６９ Ｏ．Ｏ ８．８ １５．５ 维普资讯 http://www.cqvip.com ７０ ＵＤＰ—ｏｔｈｅｒ ＩＣＭＰ ’合肥学院学报（自然科学版） 第１７卷 Ｏ．４ Ｏ．１ ０．Ｏ ３５ １ １ ７７ １６．７ ０．１ ０．Ｏ １４．９ １．２ Ｏ．１ ２４．３ ２５．１ ２９．１ ８８ ５０ ＩＰ—．ｏｔｈｅｒ 交换机的输出显示了网内不同大小数据包的分布状况，网络协议的数据流数等信息，借此可初步判断 鲫 ７ 输出指定的流信息．在交换机或路由器上直接使用命令行的方式查看流信息不便于进行大量的数据分析和历史信息统 网络的运行状况，使用ｓｈｏｗ ｍｌｓ ｎｅｔｉｌｏｗ ｉｐ命令可以查看更多的流细节，ｉｎｃｌｕｄｅ、ｔｃｐ、ｕｄｐ等参数可以控制 计，使用开源的Ｆｌｏｗ Ｔｏｏｌｓ或商业版的分析软件可以图形化展示数据构成，进行ＴＯＰＮ查询或设置预警， 满足了大量数据处理和分析的要求． ＮｅｔＦｌｏｗ功能通常是基于硬件完成，并可以配置使用不同的采样比来收集数据，所以ＮｅｔＦｌｏｗ功能的 开启对核心设备的资源消耗影响不大，合肥学院的６５０９核心交换机开启ＮｅｔＦｌｏｗ功能后交换机ＣＰＵ的月 度平均负载不超过２０％，对正常业务基本上没有产生影响． ２．２应用分析使用ＮｅｔＦｌｏｗ Ａｎａｌｙ￣ｒ软件对校园网内一条主干链路的流量和协议分布进行分析，从图 ２和图３可以清楚地看到不同应用所占带宽及其所占百分比，其中没有镜像到任何应用程序的应用被归 类为Ｔｃ ｐｐ，经查其目的和本地端口均为高位端口，可在明确其应用类型后通过自定义的方式确定应 用类别，这也体现了ＮｅｔＦｌｏｗ分析技术良好的适应性和扩展性． ●ＴＣＰ Ｐ ●｝ｒｒＴＰ 口ＲＴＳＰ １％ 口０ＲＢＩＸ ０ＮＦＩＧ ●ＵＤＰ ＡＰＰ 置 豳 ●｝ｒｒＴＰＳ 。ＲＢ强 ●ＤＮＳＩＸ 【■ 口ＢＩＴＴ０ＲＲＥＮＴ ７’—● ● 一 ■－＿ｒ ●ＧＤＳ ＤＢ ●ＥＤＯＮＫＥＹ２０００ 口９１４Ｃ／Ｇ ＲＴＳＰ 目ＤＯ】５ｌＡＩＮ ●ＳＮ砌 图２主干链路流量（５８ＭＢ）及应用分布图 图３主干链路流量及应用百分比 ２．３异常流量分析利用Ｎｅｉｆｏｗ所采集和输出的网络流量的统计信息，可以发现单个主机发出超出正 常数量的连接请求，这种不正常的大数量的流往往是蠕虫爆发或网络滥用的迹象．因为蠕虫的特性就是在 发作时会扫描大量随机ＩＰ地址来寻找可能的目标，会产生大量的ＴＣＰ或ＩＣＭＰ流．流记录里其实没有数 据包的载荷信息，这是Ｎｅｆｉｆｏｗ和传统ＩＤＳ的一个重要区别，一个流记录里不包含高层信息，这样的好处则 是可以高速地以硬件方式处理，适合于繁忙的高速局域网环境．虽然ＮｅｔＦｌｏｗ不能对数据包做出深层分 析，但是已经有足够的信息来发现可疑流量．如果分析和利用得当，ＮｅｔＦｌｏｗ记录非常适用于早期的蠕虫或 其他网络滥用行为的检测，只要了解常见蠕虫病毒的ＮｅｔＦｌｏｗ特征，就可以快速定位感染病毒的ＩＰ地址， 在网络设备上采取相应的限制、过滤措施，从而达到抑制病毒流量传播的目的．以下是几个常见蠕虫病毒 的Ｎｅｔｌｆｏｗ特征示例： （１）红色代码（Ｃｏｄｅ Ｒｅｄ Ｗｏｒｍ），２００１年７月起发作，至今仍在网络流量中经常出现．ＮｅｔＦｌｏｗ流数据 典型特征：目的端口８Ｏ，协议类型８Ｏ，包数量３，字节数１４４． （２）冲击波（ＷＯＲＭ．ＢＬＡＳＴＥＲ，Ｗ３２．Ｂｌａｓｔｅｒ．Ｗｏｒｍ），２００３年８月１２ １３起爆发．ＮｅｔＦｌｏｗ流数据典型 特征：目的端口１３５，协议类型ＴＣＰ，字节数４８． （３）２００３蠕虫王（Ｗｏｒｍ．ＮｅｔＫｉｌｌｅｒ２００３，ＷＯＲＭ＿ＳＱＬＰ１４３４，Ｗ３２．Ｓｌａｍｍｅｒ，Ｗ３２．ＳＱＬＥｘｐ．Ｗｏｍｒ），２００３ 年１月２５ １３起爆发，造成全球互联网几近瘫痪，至今仍是互联网中最常见的异常流量之一．ＮｅｔＦｌｏｗ流数 据典型特征：目的端口１ ４３４，协议类型ＵＤＰ，字节数４０４． 维普资讯 http://www.cqvip.com 第２期 夏光峰：ＮｅｔＦｌｏｗ技术及其在高校网络管理中的应用研究 ７１ 管理者有必要建立流量模式的基线，例 如，一个用户同时有５０—１００个活动的连接是 正常的，但是如果一个用户发起大量（例如 １ ０００个）活动的流就是非正常的了．图４反 映出一条链路某时段主机对外２５ ｐｏｒｔ的通讯 连接状况，ｉｐ地址为２１９．２３１．４３．２０８的计算 机连接数目为２ ４３４条，显然大大超出正常 值，经查确实是感染了ｅ—ｍａｉｌ蠕虫病毒，采用 类似的方法借助ＴＯＰＮ排序很容易找出问题， 管理员还可以通过设定报警阈值来尽早获取 安全告警． 图４异常ＳＭＴＰ连接的ＴＯＰＮ排序 利用ＮｅｔＦｌｏｗ技术，网络管理员可以在网络出口或整网范围内对网络应用、网络异常行为进行有效监 测，该技术的使用为网络规划和建设提供了参考和依据，这一不断发展和日益标准化的技术为校园网络增 添了高效的管理手段，非常值得推广和应用． 参考文献： ［１］ 田东，董德存．网络流量技术应用与分析［Ｊ］．计算机工程与科学，２００５，２７（１）：１０５—１０７． ［２］王元莉．ＮｅｔＦｌｏｗ技术与高校网络管Ｎ［Ｊ］．中国教育网络，２００５（６）：６５－６７． ［３］薛晋康，许士博，吴兴龙．基于流量分析的网络隐蔽通道检测模型［Ｊ］．计算机工程，２００２，２０（１２）：４６－４８． ［４］杨嵘，张国清．基于ＮｅｔＦｌｏｗ流量分析的网络攻击行为发现［Ｊ］．计算机工程，２ｏｏ５，３１（１３）：１３７。１３９． ［责任编校：罗季重】 ＮｅｔＦｌｏｗ Ｔｅｃｈｎｏｌｏｇｙ ａｎｄ ｉｔｓ Ａｐｐｌｉｃａｔｉｏｎ ｉｎ Ｕｎｉｖｅｒｓｉｔｙ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ ＸＩＡ Ｇｕａｎｇ—ｆｅｎｇ （Ｃｏｌｌｅｇｅ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ，Ｈｅｆｅｉ Ｕｎｉｖｅｒｓｉｔｙ ｆｏ ＴｅｃＩｌｒ１０ｌｏｇｙ，Ｈｅｆｅｉ ２３０００９，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ￣Ｗｉｔｈ ｔｈｅ ｃｏｎｓｔｒｕｃｔｉｏｎ ｏｆ ｃａｍｐｕｓ ｎｅｔｗｏｒｋ ａｎｄ ｔｈｅ ｄｅｖｅｌｏｐｍｅｎｔ ｏｆ ｉｔｓ ａｐｐｌｉｃａｔｉｏｎ，ｐｅｏｐｌｅ ｈａｖｅ ｈｉｇｈｅｒ ｒｅｑｕｉｒｅｍｅｎｔ ｆｏｒ ｎｅｔｗｏｒｋ ｍａｎａｇｅｍｅｎｔ．Ｃｏｍｐａｒｅｄ ｗｉｔｈ ｔｈｅ ｒｅｇｕｌａｒ ｍｅａｎｓ ｏｆ ｍａｎａｇｅｍｅｎｔ ｂａｓｅｄ ｏｎ Ｓｎｍｐ ｔｅｃｈｎｏｌｏｇｙ，ＮｅｔＦｌｏｗ ｉｓ ａ ｋｉｎｄ ｏｆ ｔｅｃｈｎｏｌｏｇｙ ｔｈａｔ ｃａｎ ｅｆｆｅｃｔ ｓａｆｅ ｍａｎａｇｅｍｅｎｔ ａｎｄ ｐｌａｎ，ｗｈｉｃｈ ｃａｎ ｍａｋｅ ｐｅｏｐｌｅ ｋｎｏｗ ａｂｏｕｔ ｔｈｅ ｎｅｔｗｏｒｋ ａｐｐｌｉｃａｔｉｏｎ ｍｏｒｅ ｄｅｅｐｌｙ．Ｆｒｏｍ ｔｈｅ ｆｅａｔｕｒｅｓ ａｎｄ ｓｙｓｔｅｍ—ｂｕｉｌｄ— ｉｎｇ ｏｆ ＮｅｔＦｌｏｗ ｔｅｃｈｎｏｌｏｇｙ，ｔｈｅ ａｐｐｌｉｃａｔｉｏｎ ｏｆ ＮｅｔＦｌｏｗ Ｔｅｃｈｎｏｌｏｇｙ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ ｉｓ ｉｎｔｒｏｄｕｃｅｄ ｔｈｒｏｕｇｈ ｅｘａｍｐｌｅｓ． Ｋｅｙ ｗｏｒｄｓ：ＮｅｔＦｌｏｗ；ｄａｔａ ｃｏｌｌｅｃｔｉｏｎ；ａｐｐｌｉｃａｔｉｏｎ ａｎａｌｙｚｅｒ