某金融局点SR6608路由器做Netstream，客户认为统计到流的数量偏少问题处理经验案例

某金融局点使用SR6608路由器作为广域网汇聚层路由器，并使用第三方网管统计SR6608各个接口的flow数量以及流量大小。各个接口的 flow数量是根据NetStream统计的，各个接口的流量大小是根据SNMP读取设备相关节点统计的。

目前客户认为，网管上对SR66以太网接口统计的flow数量是准确的，但对SR66 ATM子接口统计的flow数量偏少，但究竟少多少，客户也不清楚。

为了证明SR6608 ATM子接口的NetStream机制没有问题，实验室搭建了以下环境，分两次测试：
1、测试仪-------------------SR6608—G3/0/0---------------------------SR6602
2、测试仪-------------------SR6608—ATM3/2/0.1-----------------------SR6602

SR6608上配置默认路由，将所有报文转发给SR6602。在G3/0/0和ATM3/2/0.1接口出方向做NetStream。

从测试仪打出1000条流，每条流100个报文，打流5分钟左右。开始后，每30秒通过display ip netstream cache命令看能统计到多少流。结束后，通过reset ip netstream statistics命令做强制流老化，看设备一共能统计到多少流。

测试结果表明，打流结束后，两个测试环境均收到了1300余条流（设备统计到1条流并将其老化后，如相同的流又发过来，设备会再统计一次，所以最终统计到流的数量超过1000条），证明ATM子接口和以太网接口Netstream统计一致，设备实现无问题，排除设备问题。

dis ip netstream cache
IP netstream cache information:
  Stream active timeout (in minutes)  : 5
  Stream inactive timeout (in seconds): 60
  Stream max entry number             : 3351000
    IP active stream entry number     : 0
  MPLS active stream entry number     : 0
    L2 active stream entry number     : 0
  IPL2 active stream entry number     : 0
    IP stream entry been counted      : 1361
  MPLS stream entry been counted      : 0
    L2 stream entry been counted      : 0
  IPL2 stream entry been counted      : 0
  Last statistics reset time          : 08/06/2014, 15:44:35

IP packet size distribution (5358 total packets):
 1-32   64   96  128  160  192  224  256  288  320  352  384  416  448  480
 .000 .000 .000 1.00 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000

  512  544  576 1024 1536 2048 2560 3072 3584 4096 4608 >4608
 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000

 Protocol          Total   Packets   Stream  Packets Active(sec) Idle(sec)
                 Streams      /Sec     /Sec  /stream   /stream    /stream

1、客户设备配置了采样和NetStream配合使用，每512个报文中采样一个报文。在设备接口流量不大的情况下，NetStream统计的接口flow数量一定比真实的flow数量偏少。建议修改NetStream配置（删除采样、修改inactive老化时间）。

2、  客户之所以纠结此问题，究其原因，是因为接口流量大小与接口flow数不匹配。从网管上的截图可以看到，ATM3/2/0.1子接口5-6M的流量，1H之内只有72条流。然而，从诊断信息来看，ATM3/2/0主接口的流量：

Last 300 seconds input  rate 475769.21 bytes/sec, 3806153 bits/sec, 6125.08 packets/sec         //入方向3.8M

Last 300 seconds output rate 811722.31 bytes/sec, 6493778 bits/sec, 11004.57 packets/sec       //出方向6.5M

而该主接口下存在13个子接口，如果各个子接口速率大概一致，可以粗略的估计，ATM3/2/0.1子接口的速率根本达不到5-6M。应该只有零点几兆。所以，怀疑网管软件对ATM子接口的速率统计不准确，建议客户排查网管软件方面，了解他们速率统计的实现机制，看是否存在问题。