1、所有网络监控软件都应测试为第一要素，测试才是硬道理，不看广告看效果；好产品从来都怕测试也不会不打开功能测试，测试满意了再购买不迟；

2、应全功能、全用户数，全网实际测试；凡是以任何借口无法提供完全测试的产品，请谨慎对待建议放弃别浪费宝贵时间；因为无法提供全功能测试意味欺骗陷阱的极大可能；10用户和300用户测试效果是完全不同的；如购买了发现不行，人家说这个正在开发哪个你理解有错误就窝囊了；

产品的性能最核心的是引擎驱动服务程序这个是核心，要知道黄瓜的种子是绝对种不出西瓜的；所有的功能性能都在引擎驱动服务基础上，并配合程序结构和数据存储设计而实现，界面不过是管理的窗口而已；目前大致可以区分为3类驱动：

1、WINPCAP驱动：大致有80%的所谓网络监控软件都是基于该驱动上，他们共同的特点是：安装过程会自动捆绑安装WINPCAP，可以在控制面板的添加删除程序中看到被默认安装了一个WINPCAP；而WINPCAP驱动为基础的软件大同小异了，因为种子就是WINPCAP决定了功能和性能；安装一般需要共享式HUB或镜像交换机（所谓镜像就是把交换机又变回来原始的共享式HUB了），WINPCAP驱动是国外免费的公共接口，可以到网络上GOOGLE查询相关资料；

2、其他旁听模式的驱动，使用LIBCAP等修改后的驱动，这类安装虽然相比WINPCAP有所改进，但依然是旁听原理，安装方式依然是需要共享式HUB和镜像方式，原理大同小异，不过增加了流控制等一些功能；不过终究是旁听模式的原理决定了缺陷，比如不能良好阻断UDP或流量控制等；当然这类驱动是在协议层上做的，效率也就非常一般了，如果采用公共的数据库接口（比如SQL等），那么数据存储的效率就不行了，一个月数据可能还好但3个月后数据查询就蜗牛一样了；因为网络监控的数据和ERP等管理系统的数据是不同的，网络监控的数据是实时的并有可能需要屏幕数据这样的大数据存储技术；

3、NDIS中间层或WINDOWS TDI驱动

该驱动的方式是使用C++代码编译成2进制后，直接嵌在WINDOWS核心层里，在ISO模型下的低层数据链路层的子层，比火墙的层还更低层，因此效率就成千上万倍地提高性能了，和网卡驱动直接交往，卡巴斯基7开始也使用了这类驱动；更高的效率和更实时的通讯效率；同时不接受火墙的管理，也就自然能实现比如第2层的网桥技术等功能；如果能加上更适合实时的专门适合瞬间写入的数据结构体系的存储系统，可以说性能无与伦比和上面两种驱动生成的产品根本不再需要比较了；正因为如此，卡巴斯基等高级网络软件都一致使用该类技术，对卡巴斯基这样的杀病毒软件来说才可以更快更有效地捕获网络数据是否安全；代表了网络通讯和网络监控软件最新的技术；

为了帮助更多用户更好地识别，笔者特地对华北、华东、华南、华中四个地区的九类上网行为管理用户进行了调查，希望能够给大家提供一些真实、可靠的一手信息,了解其他用户的需求和吸收测试经验；

华北：
在华北地区，我们抽样了北京、天津、河北的三家用户，都是大型网络用户。

客户A：
背景：北京某教育信息中心，是某教育城域网的总出口，包括中、小、职成、幼、直属单位数百所。网络峰值为450Mbps，高峰期有近3万人同时在线。
测试经历：据该项目负责人介绍，为了给本教育系统缔造健康向上的网络环境，并对网络流量进行控制，其实早在07年他们就曾经考虑过购买流量管理产品，但由于无法实现网站过滤功能，该项目最后没有做。暑假过后，他们开始联系上网行为管理厂商进行国产软件产品选型，因考虑国内产品的服务可能相对贴近一些。

在随后的测试中，一家开发商只提供了为数不多的测试功能，这个功能不行哪个说是测试版本限制，好不容易等到测试加密狗来却在蜂拥过来的3万用户流量中挂机，很多功能都是空有其表实际根本没有（现在明白了测试是多么重要，好产品什么时候怕给人全功能全用户测试呢）；而另一家广东的厂商提供他们最高端产品运行还是相对稳定（起码不死机了），不过峰值时CPU的占有率实在好高（采用4CPU+4G内存+RAID），对该用户来说CPU不是问题，内存可以再加，弄完傻眼了因为丢包太严重了啊；原来真的再好的鸡蛋是孵不出牛的；