本文目录导读：
在网络工具（如网络监控、流量分析、网络性能管理工具）中，长短传比例分布通常呈现长尾分布或帕累托分布,具体特征如下：
典型分布特征
按连接数统计
- 短传（Short-lived Connections）：占比极高，70%~95%
- 特征：持续时间 < 1s，传输字节数 < 10KB
- 典型：DNS查询、HTTP HEAD、心跳包、ARP、健康检查
- 长传（Long-lived Connections）：占比很低，5%~30%
- 特征：持续时间 > 10s 或 > 60s，传输字节数 > 1MB
- 典型：视频流、大文件下载、SSH会话、WebSocket、数据库长连接
按流量字节统计（关键反差）
比例往往完全反转：
- 长传贡献 70%~95% 的总字节数
- 短传贡献仅 5%~30% 的总字节数
这就是典型的 "少数连接承载多数流量" 现象。
典型场景的比例参考
| 场景 | 短传:长传（连接数） | 短传:长传（字节数） |
|---|---|---|
| 通用企业网 | 85:15 | 20:80 |
| Web/微服务 | 90:10 | 15:85 |
| 视频/CDN | 75:25 | 5:95 |
| 数据中心东西向 | 95:5 | 30:70 |
| IoT/物联网 | 98:2 | 40:60 |
| 移动端App | 88:12 | 25:75 |
分布形态
连接时长分布
- 呈幂律分布（Power-law）或对数正态分布
- 大部分连接集中在毫秒~秒级
- 极少数连接持续分钟~小时级
连接字节数分布
- 呈重尾分布（Heavy-tailed）
- 大量小流 + 少量大象流（Elephant Flow）
阈值划分惯例（不同工具不同）
常见判定标准：
- 时间阈值：1s / 5s / 10s / 60s
- 字节阈值：1KB / 10KB / 100KB / 1MB
- 包数阈值：10 / 100 / 1000 packets
- Cisco NetFlow：默认按 60s 超时切分
- Zeek/Bro：conn 日志可按 duration 自定义
- Wireshark：通常人工按会话分析
影响因素
- 应用类型：视频、备份 → 长传多；DNS、心跳 → 短传多
- 采样方式：sFlow/NetFlow 采样会低估短传
- 超时设置：TCP idle timeout 直接影响长传识别
- 网络位置：接入层短传多，核心层字节集中
实践建议
如果需要做统计,建议：
- 双维度统计：连接数 + 字节数分别画分布
- 对数坐标绘图：CDF/CCDF 更能体现长尾
- 分位数报告：P50/P90/P99 时长与字节
- 明确阈值定义：报告中注明"短传=持续时间<Xs 且字节<Y"
如果你有具体的工具（如 ntopng、Zeek、Prometheus+VictoriaMetrics、Elastic）或场景,我可以给出针对性的配置和查询语句。
版权声明：除非特别标注，否则均为本站原创文章，转载时请以链接形式注明文章出处。
