Muestreo y su efecto en lo que se ve

Con muestreo de paquetes, el equipo elige al azar un paquete de cada N (el intervalo, por ejemplo 1 de 512) y solo de esos informa. Un flujo muy grande aparece muchas veces entre las muestras y se puede estimar; un intento de pocos paquetes, la mayoría de las veces, no aparece nunca. La probabilidad de que un flujo de k paquetes deje al menos una muestra es cercana a k dividido entre N cuando k es pequeño.

La consecuencia práctica es leer la ausencia con cuidado: que el colector no tenga nada sobre un hecho breve no demuestra que no ocurrió.

Consulta busqueda_en_el_colector: alguien buscó un intento de 3 paquetes en el exportador de la red central, que muestrea.

No todos los exportadores hacen lo mismo. NetFlow e IPFIX mantienen en el equipo una caché de flujos: agrupan paquetes en registros y envían los registros. sFlow (versión 5) no agrupa: envía muestras de paquetes —el encabezado y la longitud de un paquete elegido al azar— y contadores periódicos de interfaz, y es el colector quien arma el panorama. Los dos modelos pueden además aplicar muestreo, y por eso conviene saber, de cada exportador, qué envía.

Consulta exportadores y lee la columna que_envia.

Un volumen muestreado se escala: se multiplica por el intervalo. Si de 1 de cada 512 paquetes se vieron 3 640 000 bytes, la estimación del tráfico total es esa cifra por 512. Es una estimación con error, mayor cuanto menos muestras haya; con miles de muestras como aquí es razonable.

Consulta muestras_de_un_flujo: es el tráfico entre dos equipos medido por el exportador de la red central.

El inventario declara un intervalo, pero lo que importa es el que el equipo aplica. La forma barata de comprobarlo es con una prueba documentada: un equipo de TI autorizado envía un número conocido de paquetes, y se compara lo esperado (enviados divididos entre el intervalo) con las muestras que llegan al colector. Una diferencia grande indica que el equipo no hace lo que el inventario dice.

Consulta prueba_de_muestreo: calcula las muestras esperadas de cada prueba y compáralas con las vistas.

Si el exportador muestrea con un intervalo distinto del declarado, todas las estimaciones hechas con el inventario salen mal: se subestima el volumen real por el cociente entre los dos. La corrección empieza por leer el parámetro en la configuración del equipo, no en el inventario, y por actualizar el inventario y los cálculos que lo usan.

Consulta configuracion_leida y mira el parámetro de muestreo del exportador que no cumplió su prueba.