한 고객께서 통신망에서 과다 트래픽 장애가 발생할 경우 netFlow Analyzer가 얼마나 빨리 분석하여 나타 낼 수 있는지를 질의해 왔습니다.
NetFlow 처리는
1) 스위치나 라우터가 주기적으로 NetFlow Analyzer 에 보내어 주는 시간이 있습니다.
그 주기는 스위치나 라우터의 설정에 따라 달라집니다.
일반적인 Active Traffic data는 1 분주기로,
새로운 Inactive Traffic data는 15초 주기로 NetFlow Analyzer 에 보냅니다.
샘플링 주기에 따라 달라집니다.
라우터가 처리하는 모든 데이터에 대해서 트레픽을 측정하지 못하고,
주기적으로 샘플링하여 처리합니다.
대부분의 라우터 내에 있는 Flow 분석기가 그러합니다.
라우터의 보안 관련 처리도 마찬가지 입니다.
10 GBPS 라우터의 경우 1분간 처리량은 600 Giga Bits 정도되어 전체 패킷을
모두 분석한다면, CPU 용량이 엄청나야 할 것입니다.
따라서 적당한 샘플링 조사를 하게 됩니다. 과하지도 부족하지도 않게...
샘플링 방법과 그 횟수의 적정성에 대한 연구에 대한 논문도 엄청나게 많고,
계속 발전하고 있습니다.
2) NetFlow Analyzer는 스위치나 라우터가 보내어 주는 데이타는 받는 즉시로 받아 DB에 저장합니다.
수 초가 걸리지 않습니다.
3) 브라우저 화면에 나타나는 데이터는 즉시 나타나는 것이 있고,
처리 시간이 필요한 것이 있습니다.
- 트래픽 양, 대역폭 사용율, 패킷양 등은 처리 즉시 표시됩니다.
과다한 트래픽의 경우 즉시로 경보를 보내게 됩니다.
- 각 패킷을 분석하여 상세하게 표시하는 부분(IP 주소, 사용 프로토콜, 사용 어플리케이션, QoS) 등에
대한 처리는 약 3분 정도가 걸리고 처리후 즉시 표시됩니다.
수십 KBytes ~ 수 Mbytes 의 DB 작업이라 좀 시간이 걸립니다.
Interface 수가 적거나, 처리량이 적으면 1 분 이내에 처리됩니다.
따라서 새로운 InActive Traffic data 에 대한 보고는 1분 이내에 브라우져에 표시되게 됩니다.
통상적인 Active Traffic data에 대한 보고는 발생한지 1분 10초 이내에 브라우저에 표시된다고 보면 됩니다.
스위치가 data 보낸 이후에 처리하고 브라우저에 표시하는 시간은 10~ 20초가 넘지 않습니다.
상세 분석 데이터 처리 시간은 DB 처리 시간이어서, 좋은 DBMS 를 사용하고, PC Power가 좋으면 더 빨라 질 수 있습니다
참고하세요. |
|
