Muestreo y exactitud

Con un muestreo de 1 de cada 100 paquetes, el exportador solo cuenta uno de cada cien que pasan por la interfaz y construye el registro con esa muestra. Para recuperar el tamaño aproximado se multiplican los contadores por la tasa. El resultado es una estimación: acierta bien en transferencias grandes, donde hay muchas muestras, y flojea en comunicaciones de pocos paquetes. Los formatos y las técnicas de selección de paquetes están descritos en RFC 5476 (muestreo de paquetes) y RFC 7014 (selección de flujos).

Abre exportadores y flujos_muestreados. Las columnas bytes_muestreados y paquetes_muestreados cuentan solo lo que cayó en la muestra. La estimación del total es esa cifra multiplicada por tasa_n. La transferencia de 198.51.100.34 hacia 203.0.113.15 también la vio el cortafuegos sin muestreo, y esa cifra sirve para saber cuánto se equivocó la estimación.

Compara flujos_sin_muestreo con flujos_muestreados: el cortafuegos registra cuatro comunicaciones desde equipos de la red hacia fuera y el router solo dejó rastro de tres. La que falta es muy pequeña: tres paquetes. Es justo el tipo de comunicación que un muestreo de 1 de cada 100 suele perder.

Con muestreo aleatorio, la probabilidad de que un flujo de n paquetes deje al menos una muestra es 1 menos (1 menos 1/N) elevado a n. Para n igual a 3 y N igual a 100 queda cerca del 3 %. De ahí sale una regla de lectura: que un flujo pequeño no aparezca en una fuente muestreada no prueba que no existió, y que un flujo grande no aparezca sí sería una sorpresa.