高速IP網(wǎng)絡(luò)流量測量系統(tǒng)的設(shè)計與實現(xiàn)

1、高速IP網(wǎng)絡(luò)流量測量系統(tǒng)的設(shè)計與實現(xiàn)王風(fēng)宇1,2，云曉春1,3，申偉東41（中國科學(xué)院 計算技術(shù)研究所 信息智能與信息安全研究中心，北京 100080）2（中國科學(xué)院 研究生院，北京 100039）3（哈爾濱工業(yè)大學(xué) 計算機網(wǎng)絡(luò)與信息安全技術(shù)研究中心， 黑龍江 哈爾濱 150001）4（西安交通大學(xué)，電子與信息工程學(xué)院， 陜西 西安710049）摘要：網(wǎng)絡(luò)流量測量是網(wǎng)絡(luò)流量分析建模的基礎(chǔ)，也是網(wǎng)絡(luò)性能監(jiān)測的主要方法。不斷提高的網(wǎng)絡(luò)帶寬，使網(wǎng)絡(luò)流量測量面臨很大的困難。本文在分析傳統(tǒng)網(wǎng)絡(luò)流量測量系統(tǒng)存在的問題的基礎(chǔ)上，采用零拷貝分組捕獲和裸設(shè)備存儲（零拷貝存儲）等關(guān)鍵技術(shù)，設(shè)計并實現(xiàn)了一個被動式網(wǎng)

2、絡(luò)流量測量系統(tǒng)，使系統(tǒng)性能得到大幅提高，并具有較好的時間精確度。關(guān)鍵詞：網(wǎng)絡(luò)流量測量；分組捕獲；零拷貝；裸設(shè)備；TSC(Timestamp Counter)時間戳Design and Implementation of a High-speed Network Traffic Measurement System Wang Feng-Yu* *, Yun Xiao-Chun* *, Shen Wei-Dong*(Research Center of Information Intelligent and Information Security, Institute of Computing

3、Technology, Chinese Academy of Sciences, Beijing 100080)*(Graduate University of Chinese Academy of Science, Beijing 100039)*(Research Center of Computer Network and Information Security Technology, Harbin Institute of Technology, Harbin,150001)*(Institute of Electronic and information Engineering,

4、Xian Jiaotong University, Xian 710049)Abstract Through analyzing the problems of traditional network traffic measurement system, a passive network traffic measurement system is designed based on zero-copy packet capture, raw device storage and so on. The performance and the precision of network traf

5、fic measurement are improved greatly. This system is suitable for the traffic measurement of 1Gb/s network. Keyword network traffic measurement; packet capture; zero copy; raw device; TSC(Timestamp Counter)1. 引言Internet的服務(wù)類型不斷增多，業(yè)務(wù)量成倍增長，對網(wǎng)絡(luò)服務(wù)質(zhì)量的要求也越來越高，好的服務(wù)質(zhì)量依賴于網(wǎng)絡(luò)的規(guī)劃設(shè)計，以及運行時的控制和調(diào)整，而這些都要以真實網(wǎng)絡(luò)流量的測量和分析

6、為基礎(chǔ)。網(wǎng)絡(luò)流量測量在網(wǎng)絡(luò)規(guī)劃、故障診斷、應(yīng)用與協(xié)議性能等方面都有重要意義。當(dāng)前大部分被動網(wǎng)絡(luò)流量測量軟件解決方案是基于UNIX/LINUX提供的Libpcap庫，Libpcap是一個與實現(xiàn)無關(guān)的訪問操作系統(tǒng)所提供的分組捕獲機制的分組捕獲函數(shù)庫，廣泛應(yīng)用的網(wǎng)絡(luò)監(jiān)聽程序TCPDUMP就是在它基礎(chǔ)上開發(fā)的。操作系統(tǒng)所提供的分組捕獲機制主要有三種：BPF （BSD分組過濾器)1，DLPI(數(shù)據(jù)鏈路提供程序接口)，及Linux下的SOCK_PACKET類型套接口，它們的實現(xiàn)機制基本類似。但這一類型的已有測量工具在性能方面有一定的局限性，一方面由于分組傳輸過程中一些關(guān)鍵通信路徑（如系統(tǒng)調(diào)用，內(nèi)存數(shù)據(jù)拷貝

7、等）的存在，導(dǎo)致Libpcap平臺本身效率不高；另一方面，帶寬的提高，對流量數(shù)據(jù)的時間精確度及存儲速率和空間也提出了更高的要求。清華大學(xué)針對Libpcap的性能問題作了一些改進(jìn)2，但由于測量目的不同，其中還是存在一些影響性能的因素?；谶@種狀況，很多研究機構(gòu)致力于基于硬件設(shè)備的流量測量系統(tǒng)，把數(shù)據(jù)采集和時間戳等部分功能集中在專用捕包卡上34?；谟布慕鉀Q方案具有很好的性能和時間精確度，但是這類方案與軟件解決方案相比成本高、難以發(fā)布、靈活性不好。如何在有限的硬件支持下，解決傳統(tǒng)網(wǎng)絡(luò)流量測量中存在的關(guān)鍵問題，提高流量測量系統(tǒng)的性能，是我們的主要目標(biāo)。本文第二部分分析了高速網(wǎng)絡(luò)流量測量中存在的問題

8、，并給出了相應(yīng)的解決方案，包括基于零拷貝的分組捕獲平臺、裸設(shè)備存儲方案以及基于TSC計數(shù)器的硬件時鐘等；第三部分在千兆網(wǎng)絡(luò)環(huán)境對該系統(tǒng)進(jìn)行了測試評估；最后對網(wǎng)絡(luò)流量測量系統(tǒng)作了總結(jié)。2. 高速IP流量測量系統(tǒng)設(shè)計被動網(wǎng)絡(luò)流量測量包括三個基本處理/傳輸環(huán)節(jié)，首先數(shù)據(jù)從網(wǎng)卡傳送到應(yīng)用程序空間；然后進(jìn)行字段提取及在線統(tǒng)計；最后傳送到到存儲設(shè)備。其中第一和第三個環(huán)節(jié)是整個系統(tǒng)的關(guān)鍵所在，處理不好，就會成為整個系統(tǒng)的瓶頸。通過分析可知，在高速網(wǎng)絡(luò)流量測量中面臨的的幾個關(guān)鍵問題是：分組捕獲的效率；高精度時間的獲取；突發(fā)流量緩沖；高速數(shù)據(jù)存儲。我們在分析和解決這些問題的基礎(chǔ)上，設(shè)計了基于雙零拷貝的高速網(wǎng)絡(luò)流

9、量測量系統(tǒng)DZC-TMS(Double Zero-Copy Traffic Measurement System)，系統(tǒng)的設(shè)計和實現(xiàn)是基于Linux操作系統(tǒng)的，系統(tǒng)模型如圖1所示，下面小節(jié)分別對各個部分加以說明。圖1. 基于雙零拷貝的高速網(wǎng)絡(luò)流量測量系統(tǒng)模型2.1 基于零拷貝的分組捕獲平臺在傳統(tǒng)的流量測量工具中，數(shù)據(jù)從網(wǎng)卡到應(yīng)用程序空間的過程多數(shù)是基于類似Libpcap的分組捕獲模型實現(xiàn)的。這種分組捕獲模型如圖2(a)所示(內(nèi)核部分我們以BPF為例1)。在這種模型中數(shù)據(jù)傳輸是通過操作系統(tǒng)內(nèi)核來完成的，網(wǎng)絡(luò)分組到達(dá)后，首先以DMA方式傳送到內(nèi)核緩沖區(qū)，并發(fā)出硬中斷，網(wǎng)卡驅(qū)動在硬中斷處理程序中把到

10、達(dá)的分組提交給BPF分組過濾器，經(jīng)分組過濾器經(jīng)過濾后才到達(dá)用戶空間，其中存在很多影響系統(tǒng)性能的因素：數(shù)據(jù)分組通過單分組驅(qū)動機制從內(nèi)核空間向用戶空間傳送，效率不高；用戶進(jìn)程頻繁的系統(tǒng)調(diào)用，消耗大量的資源；處理過程中經(jīng)過了從網(wǎng)卡到內(nèi)核緩沖區(qū)，再從BPF拷貝到用戶空間緩沖區(qū)的過程，內(nèi)存拷貝操作要消耗大量的CPU周期和內(nèi)存資源。為了提高高速網(wǎng)絡(luò)環(huán)境下分組捕獲的性能，有必要減少分組傳輸過程的中間環(huán)節(jié)、減少或消除數(shù)據(jù)拷貝次數(shù)。由此我們設(shè)計了零拷貝分組捕獲方案56，其模型如圖2(b)所示。零拷貝的基本思想是：數(shù)據(jù)報從網(wǎng)絡(luò)設(shè)備到用戶程序空間傳遞的過程中，減少數(shù)據(jù)拷貝次數(shù)，減少系統(tǒng)調(diào)用，降低CPU在這方面的負(fù)載

11、。實現(xiàn)零拷貝用到的最主要技術(shù)是DMA數(shù)據(jù)傳輸、緩沖區(qū)訪問同步以及內(nèi)存區(qū)域映射技術(shù)。零拷貝分組捕獲方案主要由三個部分組成：用戶網(wǎng)絡(luò)接口UNI、內(nèi)核代理模塊、網(wǎng)卡驅(qū)動程序。用戶網(wǎng)絡(luò)接口處于用戶空間，用戶網(wǎng)絡(luò)接口UNI類似于Libpcap接口，封裝了底層通信的實現(xiàn)細(xì)節(jié)，通過對用戶網(wǎng)絡(luò)接口UNI的訪問，應(yīng)用進(jìn)程能夠?qū)崿F(xiàn)與網(wǎng)絡(luò)硬件接口之間的零拷貝傳輸。其他兩部分位于系統(tǒng)空間，內(nèi)核代理負(fù)責(zé)用戶空間的虛擬地址和內(nèi)核空間物理地址轉(zhuǎn)換，并創(chuàng)建緩沖區(qū)管理隊列；網(wǎng)卡驅(qū)動程序則通過和內(nèi)核代理的交互修改緩沖區(qū)隊列狀態(tài)，通知分組的到達(dá)，并獲取DMA操作所需的存儲區(qū)的物理地址，提供給DMA進(jìn)行網(wǎng)絡(luò)分組傳輸。 (a). 傳統(tǒng)

12、分組捕獲模型(b). 零拷貝分組捕獲模型圖2. 兩種分組捕獲過程的比較用戶緩沖區(qū)和網(wǎng)絡(luò)接口之間分組的零拷貝傳輸是通過網(wǎng)絡(luò)接口DMA方式來實現(xiàn)的。由于用戶進(jìn)程使用的是虛擬內(nèi)存地址，而網(wǎng)絡(luò)接口直接使用內(nèi)核提供的物理地址，在應(yīng)用程序緩沖區(qū)和網(wǎng)絡(luò)接口之間使用DMA傳輸必須解決用戶緩沖區(qū)的虛擬地址到物理地址的轉(zhuǎn)換問題。我們在應(yīng)用進(jìn)程空間靜態(tài)分配一塊連續(xù)的頁對齊的內(nèi)存作為用戶數(shù)據(jù)緩沖區(qū)，把用戶數(shù)據(jù)緩沖區(qū)分為2KB的塊，因為在Linux系統(tǒng)中頁大小是4KB,存放數(shù)據(jù)分組的數(shù)據(jù)塊又要大于一個MTU（最大傳輸單元），這樣每頁只放2個數(shù)據(jù)分組，保證了一個數(shù)據(jù)分組不會跨越兩個頁，方便了DMA操作。用戶進(jìn)程向內(nèi)核代理

13、通告用戶數(shù)據(jù)緩沖區(qū)的起始虛擬地址和緩沖區(qū)大小。Linux操作系統(tǒng)為每個進(jìn)程維護(hù)了一個三級頁表，以實現(xiàn)虛擬地址到物理地址的轉(zhuǎn)換。內(nèi)核代理利用該三級頁表完成虛擬地址頁到物理地址頁的轉(zhuǎn)換并將物理頁面鎖定于內(nèi)存中。我們建立了一個地址映射表AddrMapTable，用于存儲虛擬地址頁和物理地址頁之間的對應(yīng)關(guān)系，這個地址映射表覆蓋了所有用于分組傳輸?shù)挠脩艟彌_塊的物理地址。傳統(tǒng)工作方式下，網(wǎng)卡通過硬中斷方式通知分組的到達(dá)。然而中斷響應(yīng)的代價很高，在高速網(wǎng)絡(luò)下，頻繁的中斷會使操作系統(tǒng)自陷在中斷響應(yīng)中，形成活鎖。文獻(xiàn)7中實現(xiàn)了一種半輪詢機制，在大流量情況下使用軟中斷輪詢機制，否則使用硬中斷機制，使效率得到了很大

14、提高。由于流量測量還要考慮分組到達(dá)時間的精確度，我們在這個基礎(chǔ)上作了修改，采用純輪詢機制。零拷貝分組捕獲中分組的傳輸過程如下：在應(yīng)用進(jìn)程空間靜態(tài)分配用戶數(shù)據(jù)緩沖區(qū)，向內(nèi)核代理通告用戶數(shù)據(jù)緩沖區(qū)的起始虛擬地址和緩沖區(qū)大小。內(nèi)核代理模塊建立了兩個環(huán)形隊列用來管理數(shù)據(jù)緩沖區(qū)，接收隊列RecBusyQ和接收空閑隊列RecFreeQ。每個隊列都包含了指向用戶緩沖區(qū)數(shù)據(jù)塊的索引。分組到達(dá)網(wǎng)絡(luò)接口卡時，直接以DMA方式存儲到用戶空間緩沖區(qū)，然后發(fā)出硬中斷。在硬中斷響應(yīng)開始，關(guān)閉網(wǎng)卡硬中斷，通過軟中斷進(jìn)入輪詢操作，如果接收了新的分組，則往接收隊列添加分組索引，并從空閑隊列取得空閑數(shù)據(jù)塊索引，然后通過地址映射表

15、AddrMapTable找到對應(yīng)的數(shù)據(jù)塊物理地址，提供給網(wǎng)卡驅(qū)動程序供以后DMA使用。接收隊列、接收空閑隊列以及地址映射表放在連續(xù)的內(nèi)存空間，然后通過內(nèi)存映射技術(shù)使應(yīng)用程序也能夠訪問。當(dāng)?shù)竭_(dá)的分組達(dá)到一定數(shù)量，喚醒應(yīng)用進(jìn)程，應(yīng)用進(jìn)程從接收隊列獲得數(shù)據(jù)塊索引，得到用戶緩沖區(qū)地址，當(dāng)處理完索引指向的分組后將其添加到接收空閑隊列。從內(nèi)核空間到用戶空間的批量分組傳送，減少了用戶進(jìn)程的系統(tǒng)調(diào)用和狀態(tài)切換。2.2基于TSC(Timestamp Counter)的時間戳分組到達(dá)的時間精確度對于流量分析具有重要意義，不論時間間隔分布，還是相關(guān)系數(shù)分析，都需要分組到達(dá)的精確的時間，否則會影響流量分析和建模的準(zhǔn)確

16、性?；谟布臏y量系統(tǒng)在捕包卡上添加了時間戳功能48，效果比較理想，但成本較高，靈活性不好。Linux操作系統(tǒng)提供的時間函數(shù)gettimeofday()最多能夠達(dá)到微秒級的時間精確度，TCPDump程序就是通過這種方法取得的分組到達(dá)時間，但這種方法系統(tǒng)調(diào)用過程比較復(fù)雜。這里我們借助Intel處理器中的TSC計數(shù)器來獲得時間戳，開機時TSC的記數(shù)器清零，然后在每個處理器時鐘周期都完成一次自增，因此它的精密程度近乎CPU時鐘頻率。這個計數(shù)器使用一個64位的寄存器來存儲，它的長度可以允許2GHz的處理器連續(xù)使用292年而不溢出。這種方法需要特定的模式支持并且與處理器的速度有關(guān)，但通過這個方法可以有效

17、解決時間戳的精確度，而且由于直接訪問寄存器，減少了系統(tǒng)調(diào)用環(huán)節(jié)，還可以最大程度的減小對系統(tǒng)性能的影響。雖然TSC可以依CPU狀況提供精確到納秒級的時間，由于網(wǎng)卡的緩存，以及中斷響應(yīng)時間具有不確定性，實際應(yīng)用中精確度不高。為了最大程度的提高時間精確度，我們放棄了中斷和輪詢相結(jié)合的半輪詢機制，采用了內(nèi)核全輪詢機制，在輪詢獲知分組到達(dá)時添加時間戳，這樣在軟件部分得知分組到達(dá)的第一時間加入時間戳。同時，我們在Linux下采用了實時操作系統(tǒng)內(nèi)核模塊RTLinux，保證了輪詢進(jìn)程的高優(yōu)先級別,確保了對網(wǎng)卡輪詢的精確性。2.3 基于裸設(shè)備的存儲方案提取所需要的數(shù)據(jù)以后，接下來的問題就是如何把數(shù)據(jù)存儲到硬盤。

18、廣域網(wǎng)網(wǎng)絡(luò)流量具有自相似特征，也就是說在不同的時間尺度上存在突發(fā)性9，如果沒有緩沖措施平抑高峰流量的到達(dá)，硬盤存儲速率難以滿足要求。我們采取了循環(huán)緩沖方案，網(wǎng)絡(luò)數(shù)據(jù)采集程序和存儲程序分處不同的線程，放棄了阻塞進(jìn)程的同步方式，當(dāng)循環(huán)緩沖區(qū)滿時，丟棄新到的包，這樣可以防止不必要的阻塞影響系統(tǒng)整體性能。相比于總線速度和內(nèi)存速度，硬盤存儲速度要低得多，是流量測量的主要瓶頸。有了內(nèi)存的緩沖作用，這里可以不考慮網(wǎng)絡(luò)流量峰值，只要求達(dá)到平均速度。根據(jù)需求的不同，網(wǎng)絡(luò)流量測量只存儲IP包的一部分字段，隨著存儲字段的增加，對硬盤存儲速度的要求也就提高。DZC-TMS系統(tǒng)中，每個IP分組我們存儲48字節(jié)（20字節(jié)

19、IP頭+20字節(jié)TCP頭+8字節(jié)時間戳）。DZC-TMS采用基于裸設(shè)備（raw device）的存儲方案。裸設(shè)備是沒有建立文件系統(tǒng)的設(shè)備，是一種特殊字符設(shè)備。在Linux下，把裸設(shè)備綁定到塊設(shè)備（例如磁盤），就可以像訪問塊設(shè)備一樣對裸設(shè)備進(jìn)行讀寫操作了。但不同的是，在文件系統(tǒng)方式下，數(shù)據(jù)首先從用戶空間復(fù)制到內(nèi)核空間，然后通過DMA執(zhí)行I/O操作，而在裸設(shè)備方式下數(shù)據(jù)不再復(fù)制到內(nèi)核空間，而是DMA直接操作用戶緩沖區(qū)的數(shù)據(jù)，所以裸設(shè)備的訪問是零拷貝I/O。由于裸設(shè)備的I/O操作包括對用戶進(jìn)程存儲區(qū)的直接硬件訪問，要求用戶進(jìn)程存儲區(qū)要從一個塊的起始地址開始，最簡單的方法就是通過Linux下的函數(shù)調(diào)用

20、valloc()來分配從塊的起始地址開始的緩沖區(qū)，同時要求存儲區(qū)的大小是塊的大小的倍數(shù)。由于使用裸設(shè)備避免了經(jīng)過Linux文件系統(tǒng)層，數(shù)據(jù)直接在磁盤和應(yīng)用程序之間進(jìn)行傳輸，所以在磁盤讀寫非常頻繁，以至于磁盤讀寫成為系統(tǒng)瓶頸的情況下，采用裸設(shè)備可以大大提高磁盤訪問速度。由于裸設(shè)備使用的是原始分區(qū)，沒有采用文件系統(tǒng)的管理方式，Linux維護(hù)文件系統(tǒng)的開銷也都沒有了，這也能夠有效減少CPU和內(nèi)存的消耗。為了對裸設(shè)備的性能加以驗證，我們使用CPU主頻1.7G，內(nèi)存為128MB的微機，在同一塊硬盤上對裸設(shè)備和Linux文件系統(tǒng)管理下的文件作同樣的寫操作，連續(xù)寫入1GB數(shù)據(jù)，結(jié)果對比如表-1所示，裸設(shè)備無

21、論在速率還是資源占用上，都有優(yōu)勢，當(dāng)然裸設(shè)備同時也帶來了管理和操作上的困難，但在特定系統(tǒng)中，這是次要的。Linux文件系統(tǒng)裸設(shè)備寫入速率(MB/sec) 占用CPU百分比(%)20.83 11.57526.323.375表1. 裸設(shè)備與Linux文件系統(tǒng)寫入性能對比3. 系統(tǒng)性能測試系統(tǒng)測試環(huán)境的配置為：雙CPU-P2.0G；4G內(nèi)存；RedHat Linux 7.2-2.4.18-smp5操作系統(tǒng) + RTLinux內(nèi)核模塊；Intel Pro 1000千兆以太網(wǎng)卡；Ultra160-SCSI硬盤。為了對測試結(jié)果加以量化，我們用Router Tester作為發(fā)包機，控制分組長度和發(fā)包速度，在

22、不同分組長度條件下，提高發(fā)包速度，記錄發(fā)生丟包之前達(dá)到的最高發(fā)包速度。同時作為比較，我們用傳統(tǒng)的Libpcap和Linux文件系統(tǒng)替換了零拷貝分組捕獲和裸設(shè)備存儲，做了同樣的測試，測試結(jié)果如圖3所示，DZC-TMS系統(tǒng)的最高測量速度隨著分組長度的增加，快速提高，當(dāng)分組長度為512字節(jié)時最高測量速率就可以達(dá)到約950Mb/s，此后基本不再有提高；而基于Libpcap和文件系統(tǒng)的流量測量系統(tǒng)的最高測量速度隨著分組長度的增加提高不大，沒有超過250Mb/s。DZC-TMS流量測量系統(tǒng)在總體性能上遠(yuǎn)遠(yuǎn)高于傳統(tǒng)的流量測量方法。圖3. 兩種流量測量系統(tǒng)的性能對比在現(xiàn)有測試條件下，系統(tǒng)的瓶頸位于分組捕獲部分

23、，也就是說在達(dá)到最高測量速度時，在分組捕獲部分首先出現(xiàn)丟包現(xiàn)象。我們在實際網(wǎng)絡(luò)中采用旁路監(jiān)聽方式采集了電信及教育網(wǎng)千兆網(wǎng)絡(luò)出口的流量，系統(tǒng)運行穩(wěn)定，沒有出現(xiàn)丟包的現(xiàn)象，完全能夠滿足千兆網(wǎng)絡(luò)的流量測量需求。前面部分我們介紹了基于TSC時間戳可以達(dá)到納秒級精確度，這里我們通過實驗分析其執(zhí)行性能以及網(wǎng)絡(luò)分組到達(dá)的時間精確度。我們測試了TSC時間獲取和通過系統(tǒng)調(diào)用gettimeofday()獲取時間的效率，在現(xiàn)有測試條件下，執(zhí)行一次gettimeofday()所用的時間大約是520ns，而執(zhí)行TSC時間獲取所用的時間大約是32ns，二者的性能差別是明顯的。由于使用了SMP(Symmetric Mult

24、i-Processor)系統(tǒng)和實時操作系統(tǒng)模塊RTLinux，任務(wù)分派到不同的CPU，而且設(shè)置分組輪詢進(jìn)程為高優(yōu)先級，所以進(jìn)程調(diào)度對時間精確度影響可以控制在微秒級。由于網(wǎng)絡(luò)流量研究一般是在一定的時間尺度范圍內(nèi)的10，所以微秒級的時間精確度基本能夠滿足千兆網(wǎng)測量需求。4. 結(jié)束語本文在分析傳統(tǒng)網(wǎng)絡(luò)流量測量方法所存在的問題的基礎(chǔ)上，設(shè)計并實現(xiàn)了基于雙零拷貝的網(wǎng)絡(luò)流量測量系統(tǒng)DZC-TMS，使流量測量系統(tǒng)的性能得到極大提高，能夠滿足千兆網(wǎng)絡(luò)的流量測量需求。當(dāng)然，本系統(tǒng)還存在一些局限性。由于軟件方案的限制，本系統(tǒng)在分組到達(dá)時間戳上的精確度還不夠高，這個問題只能在硬件層次解決。要測量更高帶寬的流量，除了

25、采用性能更高的計算機系統(tǒng)以外，分組捕獲和存儲系統(tǒng)之一必然成為整個測量系統(tǒng)中的瓶頸，如果存儲系統(tǒng)成為瓶頸，則可以采用RAID0技術(shù)提高存儲速度，甚至可以設(shè)計一個并行存儲系統(tǒng)，通過局域網(wǎng)把存儲任務(wù)分配到多臺計算機；如果分組捕獲成為瓶頸，則需要把網(wǎng)絡(luò)流量分流到不同的測量系統(tǒng)。當(dāng)然這些都需要比較高的成本。在高速網(wǎng)絡(luò)流量測量中采用適當(dāng)采樣和壓縮技術(shù)而又不丟失流量特征，將會極大緩解帶寬提高帶來的壓力，是下一步重點研究的方向。網(wǎng)絡(luò)帶寬不斷提高，網(wǎng)絡(luò)流量測量的難度會越來越大，而網(wǎng)絡(luò)性能的提高會越來越和網(wǎng)絡(luò)流量的研究緊密結(jié)合，網(wǎng)絡(luò)流量測量技術(shù)需要持續(xù)的研究和提高。參考文獻(xiàn)：1 S. McCanne and V.

26、 Jacobson. The BSD packet filter: A new architecture. for user-level packet capture,” In: Proc of USENIX Winter Conf, Jan 1993. 259269,.2 李志春，張輝，有悅等. 高速主干網(wǎng)測量系統(tǒng)的設(shè)計與實現(xiàn). 計算機工程，2003. 29(1): 53-553 J. Cleary, S. Donnelly, I. Graham, A. McGregor, M. Pearson. Design Principles for Accurate Passive measurement, In: Passive and Active Meas