Campos de un registro de flujo

Un registro de flujo resume los paquetes que comparten una misma clave —direcciones de origen y destino, puertos, protocolo y la interfaz por donde entran— durante una ventana de tiempo. Guarda esa clave, los contadores de paquetes y de bytes, la hora del primer y del último paquete y, en TCP, la unión de las banderas que vio.

Lo que no guarda es el contenido. Por eso una ficha de flujo es barata de almacenar y de mover, y por eso sirve para preguntar «quién habló con quién y cuánto» pero no «qué dijo». Las versiones modernas del formato (NetFlow v9, estandarizado como IPFIX en la RFC 7011) describen sus campos con plantillas, así que un exportador puede añadir campos sin que el colector deje de entenderlo.

Los contadores permiten ordenar. Consulta flujos y compara la columna bytes: el registro que más datos movió de la mañana no es necesariamente el más conocido ni el más reciente. Para saber quién lo originó se mira la ip_origen de esa fila.

Cada registro trae la hora de su primer paquete (inicio) y la de su último (fin). La resta es la duración del registro, y con ella y los bytes se obtiene una velocidad media. Un flujo muy largo no siempre es una sola conversación: el exportador corta los registros por tiempo, y esos cortes se estudian en la sala 3.

Consulta flujos y fíjate en la fila con más paquetes.

Un registro de flujo cuenta el tráfico en un solo sentido. Una conversación entre un equipo y un servidor se ve como dos registros: uno con los paquetes de ida y otro con los de vuelta, con las direcciones y los puertos intercambiados. Si solo se mira uno, se ve la mitad de la historia.

El equipo 198.51.100.70 abrió una conexión HTTPS con 203.0.113.20. Consulta flujos y busca el registro con las direcciones y los puertos intercambiados.

Las banderas TCP de un registro son la unión de las que se vieron: si solo aparece la bandera de inicio de conexión, el exportador solo vio paquetes de inicio en ese sentido. El registro es un hecho medido; la interpretación hay que ganarla con los demás registros y con otros datos.

Consulta flujos y mira la fila F05: un equipo de la red de visitas hacia el servidor de pedidos, puerto 445, con 3 paquetes y la bandera SYN, y sin registro de vuelta en la tabla.