3. sFlow 协议精讲
sFlow 是由 InMon 提出并标准化为 RFC 3176 的流量监控协议，它的核心思路与 NetFlow 截然不同：NetFlow 记录“每一条流”，而 sFlow 记录“按概率抽取的样本”。理解这一点，是掌握 sFlow 全部设计取舍的钥匙。本节从采样机制入手，逐层拆解 sFlow 数据报结构、计数器样本与流样本，并把它与 NetFlow 的设计哲学做一次正面对比。
一、采样机制：为什么 sFlow 只“看一部分”
sFlow 假设：在高带宽链路上，与其为每条流维护状态、导出完整流记录，不如以固定概率随机抽取报文，用统计推断还原整体流量特征。它有两种采样方式：
- 基于报文采样（packet-based sampling）：每收到 N 个报文抽取 1 个，采样率记为 1/N。例如采样率 1:1024，表示平均每 1024 个报文抽 1 个。
- 基于时间采样（time-based sampling）：按固定时间间隔触发一次计数器采集，用于接口统计。
采样率是 sFlow 最重要的参数。它决定了导出数据量与统计精度：采样率越低（分母越大），设备 CPU 与带宽开销越小，但样本稀疏、估算方差越大；采样率越高，精度提升但开销上升。工程上常按链路速率选取，例如 1Gbps 链路用 1:1000～1:2000，10Gbps 链路用 1:2000～1:4000，40Gbps 以上可用 1:8000～1:16000。这些是经验起点，实际需结合流量特征与采集器容量调整。
由于是随机采样，sFlow 的估算带有统计误差。若某类流量占比为 p，采样数为 n，则估算相对误差大致与 1/√(n·p) 成正比。这意味着：占比很小的流量（如某条异常小流）在低采样率下可能完全抽不到，这是 sFlow 的固有盲区，也是它与 NetFlow 最本质的差异。
二、数据报结构：一个 UDP 报文里装了什么
sFlow 数据报封装在 UDP 中，默认目的端口 6343。一个 sFlow 数据报由数据报头和若干样本（sample）组成，样本又分为流样本（flow sample）和计数器样本（counter sample）两类。数据报头字段包括：
- 版本号（version）：当前为 5；
- 代理地址类型与代理 IP 地址（agent address）：标识导出设备；
- 子代理 ID（sub-agent id）：用于区分同一设备内的不同转发实体；
- 序列号（sequence number）：用于检测丢包；
- 设备运行时间（uptime）：毫秒级，用于时间对齐；
- 样本数量（sample count）及后续样本列表。
每个流样本包含：样本类型、序列号、源/目的接口索引、采样率、丢弃原因、输入/输出接口、以及一个或多个原始报文头片段（通常是前 128 字节，含以太网、IP、TCP/UDP 头）。采集器正是靠这段报文头解析出五元组、ToS、TCP 标志等字段。计数器样本则携带接口统计、CPU、内存等计数器的当前值。
三、计数器样本与流样本的配合
sFlow 的计数器样本与流样本是互补的。计数器样本周期性上报接口的字节数、包数、错误数、丢弃数，以及设备 CPU、内存等资源指标，用于绘制接口流量曲线和健康度；流样本则提供“流量由谁构成”的细节。两者结合，才能既看到总量趋势，又看到构成成分。
一个常见的教学示例：某 10Gbps 出口链路配置 sFlow 采样率 1:2000，采集器每 30 秒收到约 1500 个流样本。若某时刻采集器统计到目的端口 443 的样本占 42%，则可估算 HTTPS 流量约占链路带宽的 42%。这个 42% 是估算值，不是精确值；当采样率提高到 1:500 时，样本数增至约 6000，估算波动会明显收窄。判断采样率是否合适，可以观察同一指标在相邻周期是否剧烈跳动：若跳动过大，说明样本不足，应提高采样率或延长聚合周期。
四、与 NetFlow 的设计哲学对比
NetFlow 的哲学是“精确记账”：设备为每条流建立缓存条目，记录包数、字节数、时间戳，流老化后导出。它精确、可追溯，但代价是流表内存、CPU 和导出带宽随流数量增长。sFlow 的哲学是“统计抽样”：设备只做无状态的随机采样，把解析和聚合的负担交给采集器。它轻量、可扩展，适合高带宽骨干，但无法精确回答“某条具体小流有多少字节”。
因此选型时不应问“哪个更好”，而应问“要回答什么问题”。需要计费级精度、逐流审计、小流检测，选 NetFlow/IPFIX；需要大规模链路趋势、DDoS 宏观画像、设备资源监控，且希望转发面开销极低，选 sFlow。两者也常在同一网络中共存：核心用 sFlow 看宏观，边界用 NetFlow 做精细。