[论文解读] Flow-based analysis of Internet traffic

F. Afanasiev, A Petrov+2 more|ArXiv.org|Jun 9, 2003

Network Traffic and Congestion Control参考文献 4被引用 7

一句话总结

本文提出一种基于流的流量评估方法，利用思科NetFlow数据与排队论，将链路利用率建模为活动流数量的函数。核心贡献是提出一种实用测试，用于识别链路的工作区域与过载点。实验表明，当活动流超过2500个时，网络性能显著下降，重载状态下有效容量几乎减少50%。

ABSTRACT

We propose flow-based analysis to estimate quality of an Internet connection. Using results from the queuing theory we compare two expressions for backbone traffic that have different scopes of applicability. A curve that shows dependence of utilization of a link on a number of active flows in it describes different states of the network. We propose a methodology for plotting such a curve using data received from a Cisco router by NetFlow protocol, determining the working area and the overloading point of the network. Our test is an easy way to find a moment for upgrading the backbone.

研究动机与目标

• 开发一种简单、被动的方法，利用流级数据评估骨干网络质量。
• 基于活动流数量与利用率，识别网络链路的工作区域与过载阈值。
• 提供一种标准化、理论基础扎实的测试方法，用于确定骨干链路升级的最佳时机。
• 通过将排队论应用于真实的NetFlow追踪数据，弥合学术建模与实际ISP网络运维之间的差距。
• 建立一种基于流度量的网络质量评估通用框架，尤其适用于VoIP与视频会议等高质量应用。

提出的方法

• 使用泊松流到达与流大小及持续时间的一般分布，将骨干网流量建模为平稳随机过程。
• 应用排队论推导出两个关键方程：期望链路利用率（E[R(t)] = λ·E[Sn]）与流量突发性（VR = λ·E[Sn²/Dn]）。
• 使用思科NetFlow每30分钟从路由器收集实时活动流与链路利用率数据，持续一周。
• 构建链路利用率与活动流数量之间的曲线，以可视化网络状态并识别关键阈值。
• 将工作区域定义为曲线的线性区域（利用率约45%以下），将过载点定义为性能开始下降的拐点。
• 通过脚本自动生成利用率与流数量的曲线，从思科路由器的' sh ip cache flow '与' sh int '命令中收集数据。

实验结果

研究问题

• RQ1 如何利用NetFlow的流级数据实现实时建模与监控骨干链路利用率？
• RQ2 活动流数量与链路利用率之间存在何种关系？该关系如何用于检测网络过载？
• RQ3 网络行为从正常状态过渡到过载状态的临界点在哪里？该临界点如何量化？
• RQ4 在高负载条件下，实际网络性能与理论预期的偏差程度如何？
• RQ5 能否开发一种标准化的、被动的测试方法，以指导网络运营商确定最佳升级时机？

主要发现

• 网络的工作区域上限约为45%的利用率，超过该值后性能急剧下降。
• 当活动流数量超过2500个时，网络进入过载状态，此时链路利用率趋于平稳，尽管需求仍在增加。
• 在重载状态下，网络有效容量降至标称容量的一半左右，表明性能严重下降。
• 实际网络性能在质量敏感型应用中往往无法满足工作区域内的理论预期行为。
• 理想化的理论曲线（基于公式2）仅在轻载状态下与实测数据高度吻合，证实了模型在低负载下的有效性。
• 路由器上NetFlow配置不完整（如HeaNet案例）可能导致数据不完整，从而产生不可靠结果。