透过 sFlowTrend 查询异常流量

　　先前有写一篇「设置HP 5130 EI的sFlow (流量监控)传至 inMon sFlowTrend」的文章，当时是子公司 VPN 网路发生异常状况，请 VPN 厂商检视路由器后，查出是一个很基本且常用的服务占用频宽导致，当时就在想如果能够自己进行查询，就可以缩短整体查修的时间。上网查讯相关资讯后，试了几个免费的 flow 软体，最后选择了 sFlowTrend 这个相对简单且实用的工具，而当时安装完后，因为网路问题已排除，便没有机会了解实际的效果如何。

　　今天刚好有个网路的异常情形发生，一样请 VPN 厂商协助了解原因后，便试着检视 sFlow 的纪录，看能不能查出与厂商一致的结果。以下为检视方式：

1. 开启sFlowTrend，点选「Network」底下的「Top N」，在「Chart」选择【Top connections】，Units可以改成【Bits/s】

2. 点选「漏斗图示」，在「Filter」输入要筛选的IP范围，这边以两个网段为例，
输入” (clientAddress> = “192.168.3.1” && clientAddress <= "192.168.3.254") || (clientAddress >= “192.168.20.1” && clientAddress <= "192.168.20.254")” 按下OK後，就可以在下方檢視兩個網段前五名的流量的IP及port情形。以下圖來說，主要是 pop3 收信流量佔了較大比例。