Dónde se exporta y dónde se recolecta

Un exportador vigila una interfaz en una dirección: entrada (los paquetes que llegan), salida (los que se van) o ambas. Si se vigila la entrada de todas las interfaces de un enrutador, cada paquete que lo atraviesa se cuenta una vez, al entrar, y las dos direcciones de una conversación quedan cubiertas porque cada una entra por una interfaz distinta. Si se vigilan entrada y salida en las mismas interfaces, cada paquete se cuenta al entrar por una y al salir por la otra, y los totales se duplican.

Esto importa para el costo y para la lectura: un volumen duplicado distorsiona toda comparación con la línea base.

La forma de comprobar el diseño es contrastar el total del colector con el contador de la interfaz del mismo equipo, que cuenta bytes sin interpretar nada. Deben ser parecidos; una diferencia de un factor 2 casi exacto delata una cuenta doble, y se confirma leyendo las direcciones vigiladas.

Consulta comparacion_con_contadores y exportadores.

Un diseño de exportación se valida contra un inventario de enlaces: por cada enlace por el que pasa tráfico de la empresa debe haber al menos un exportador que lo vea. Un enlace sin exportador es un punto ciego: lo que ocurre en él no deja ninguna ficha, y la ausencia de fichas no es ausencia de tráfico.

Consulta enlaces y lee la última columna.

NetFlow v9 e IPFIX no envían los campos en cada registro: envían plantillas que dicen qué campos trae cada tipo de registro, y luego registros de datos que las usan. Un colector que acaba de reiniciarse no conoce las plantillas hasta que el exportador las reenvíe, y mientras tanto no puede decodificar los registros y los descarta. El intervalo de reenvío es configurable y lo decide cada exportador.

Consulta registro_del_colector y compara el momento en que empezaron a descartarse los registros de un exportador con el momento en que recibió su plantilla.

Cada tecnología llega por su propio puerto UDP del colector, y el colector debe estar escuchando en todos los que usan los exportadores; si no, los registros de ese puerto se pierden sin aviso. Al revisar un diseño se contrasta la tabla de exportadores con la configuración del colector y con las reglas de filtrado que dejan pasar esos paquetes.

Consulta exportadores y fíjate en los exportadores que hablan IPFIX.