sFlow是Sampled Flow的简称，由Inmon提出，是一种用于监控数据网络上交换机或者路由器流量转发状况的技术。

sFlow系统包括若干sFlow Agent(内嵌于交换机或者路由器等转发设备)以及一个核心的sFlow Collector。sFlow Agent通过特定的采样技术获取网络设备上的流量转发统计并实时地通过sFlow数据报文发送到Collector以供Collector进行分析，通过生成流量视图或者报表的形式，帮助网络管理员更加有效地管理整个站点(通常是企业级站点)的网络流量。

相对于电信级网络，企业级网络通常具有规模相对较小、组网灵活、易受攻击等特点，因此企业级网络更容易出现由组网或者攻击导致的流量业务异常，因此企业用户更需要一种以设备端口为基本采样单元的流量监控技术来实时监控流量状况以及及时发现异常流量以及攻击流量的源头，从而保证企业网络的正常稳定运行。

一个典型的sFlow系统提供了一组Agent以及一个Collector，Agent内嵌于网络设备，负责采集相关的流量统计信息;Collector的角色通常由专门的服务器充当，通过在服务器上运行sFlow trend等专门的sFlow Collector软件，收集Agent发送过来的统计数据，以图形化的统计信息汇总或者以报表的形式输出。为企业用户特别是不设置专职网络管理员的企业用户的日常巡检维护提供了极大的方便。

与其他特性的依赖关系如下：

依赖于IP协议栈以及单播路由转发特性。如果Collector软件需要使用sFlow Trend(Inmon提供的标准Collector软件)，设备必须支持SNMP V2或者SNMP V3。并且SNMP Agent功能以及公有MIB的读写功能必须开启。

sFlow Agent是sFlow的客户端设备，在一个典型的部署sFlow的网络中，一般是内嵌于网络转发设备中(比如交换机和路由器)，负责收集设备上的流量转发情况并实时发送给sFlow Collector以供分析使用。

sFlow的采样报文格式

sFlow报文采用UDP封装，缺省目的端口号为知名端口6343。sFlow报文共有4种报文头格式，分别为Flow sample、Expanded Flow sample、Counter sample、Expanded Counter sample。其中Expanded Flow sample和Expanded Counter sample是sFlow version5新增内容，是Flow sample和Counter sample的扩展，但不前向兼容。所有的Extended的采样内容必须使用Expanded采样报文头封装。

Extended MPLS Data

针对MPLS封装的报文，获取报文的MPLS封装信息，将这些信息封装到sFlow报文中发送给Collector。

Extended MPLS Tunnel

针对经MPLS隧道转发的报文，解析报文的转发隧道信息，将这些信息封装到sFlow报文中发送给Collector。

Extended MPLS VC

针对经VLL/VPLS转发的报文，解析报文的L2VPN转发信息，将这些信息封装到sFlow报文中发送给Collector。

Extended MPLS FEC

针对MPLS转发的报文，解析报文的MPLS转发等价类信息，将这些信息封装到sFlow报文中发送给Collector。

Extended MPLS LVP FEC

针对MPLS转发的报文，解析MPLS转发等价类掩码长度，将这些信息封装到sFlow报文中发送给Collector。