带宽评估核心是明确“谁在用、怎么用、是否异常”，需分层监控（接口级、流级、dpi）、动态阈值告警、联动响应及持续优化。
带宽评估的核心不是只看“用了多少”，而是搞清“谁在用、怎么用、是否异常”。监控和告警必须围绕这三个问题展开，否则容易变成一堆数字报警却找不到根因。
明确监控对象和采集方式
不同层级的监控对应不同精度和成本：
- 接口级总量（如SNMP）：适合看整体趋势和容量规划，但无法识别应用或用户，发现“带宽满”后仍要二次排查。
- 流级数据（NetFlow/sFlow）：能拿到源/目的IP、端口、协议、字节数、包数等五元组信息，可精准定位Top Talker、高耗应用和异常会话，是带宽评估的主力采集方式。
- 端口镜像+深度包检测（DPI）：可识别加密流量中的应用行为（如微信视频、迅雷下载），但对设备性能和存储要求高，多用于安全审计或重点业务保障场景。
设置合理阈值并分层告警
单一“80%就告警”不实用。应结合基线和业务节奏动态设定：
- 按接口设置硬性阈值（如95%持续5分钟），触发即时邮件/SMS，用于防瘫痪；
- 按应用或用户设置行为阈值（如单台PC每小时上传超2GB），用于发现异常外联或P2P滥用；
- 对关键链路（如出口WAN）启用趋势预警：连续3天同一时段峰值上涨30%，提示带宽扩容窗口临近。
告警必须联动响应动作
光通知不解决问题。有效告警需自带上下文和处置入口：
- 邮件中直接附带该时段Top 5流量源IP、对应应用类型及历史对比图；
- 支持一键跳转到该接口的实时会话列表或应用流量分布页；
- 对确认为非业务流量（如BT、矿池连接），可配置自动限速策略（如限至1Mbps）并记录操作日志。
验证与持续优化
上线后需定期校准：
- 每月比对NetFlow统计与核心交换机接口计数器，偏差＞5%需检查采样率或导出配置；
- 当新增业务系统上线时，同步更新应用识别规则库，避免新流量被归为“未知协议”；
- 将告警事件与工单系统打通，统计平均响应时长和误报率，反向优化阈值逻辑。
