本文为系列第二部分，重点分析 sFlow v5、采样端口镜像、GRE 隧道封装及 IPFIX/NetFlow v9 内联监控等灵活遥测技术。文章详述 sFlow v5 并非基于流而是基于包工作，采样为强制设计，直接在报文中携带采样率并仅导出前 60–140 字节原始包头，将解析下推至采集器（如 FastNetMon），从而原生支持 MPLS、VXLAN、GRE 及 TTL 等非标准字段，理论上极适合 DDoS 检测。但现实中，华为、Juniper MX 等厂商的 sFlow 代理实现存在严重缺陷，部分设备甚至无法配置合理采样率以获得准确流量速率，导致该协议在攻击检测场景落地受限。原文节选未给出具体采样率数值或设备型号清单。
- sFlow v5 强制采样且仅导出原始包头前 60–140 字节，解析工作由采集器完成
- 原生支持 MPLS、VXLAN、GRE 及 TTL 等字段，理论上利于 DDoS 检测
- 主流厂商（华为、Juniper MX）代理实现缺陷导致采样率配置受限，影响实际可用性
原文: APNIC Blog（2025-03-27）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog