Um roteador de borda encaminha milhoes de pacotes por segundo. Exportar um
registro por pacote derrubaria o roteador e o coletor. Entao o roteador amostra:
olha 1 pacote a cada N, e exporta um registro que representa aquele grupo.
N e a taxa de amostragem. Um valor comum e 1000.
O roteador exporta a contagem amostrada, nao a real. Quem multiplica por N
e o EdgeGuard, no momento em que o registro entra.
bytes reais estimados = bytes do registro x taxa de amostragem
Isso tem uma consequencia direta: a taxa configurada no EdgeGuard tem que ser
igual a taxa configurada no roteador. Se o roteador amostra 1 em 1000 e o
EdgeGuard esta com 1, todo grafico fica mil vezes menor. O painel nao erra
sozinho, ele erra junto com o campo.
O caso real: um provedor com 8 Gbps de borda apareceu com 8 Mbps depois que o
campo foi salvo como 1.
Administracao, no equipamento, na aba de exportacao de NetFlow. Cada
equipamento tem sua propria taxa. Alguns exportadores usam taxas diferentes
para IPv4 e IPv6, ou para entrada e saida; nesse caso cada combinacao tem seu
proprio campo, e ele prevalece sobre a taxa geral.
| Pergunta | Confiavel com amostragem? |
|---|---|
| Quanto trafego passou no total | Sim |
| Quem sao os maiores consumidores | Sim |
| Qual o pico do link | Sim, no tamanho da janela do grafico |
| Um fluxo pequeno e isolado existiu? | Nao. Pode nunca ter sido amostrado. |
| Contagem exata de pacotes de um host | Nao |
Regra pratica: amostragem responde bem sobre volume e proporcao, e mal
sobre evento unico e pequeno.
O contador SNMP da interface conta todo byte que passou, sem amostragem, mas
nao sabe dizer de onde veio nem para onde foi. O fluxo sabe a origem e o
destino, mas e uma estimativa. Os dois numeros nao batem exatamente, e nao
deveriam. Se a diferenca for grande e constante, a taxa de amostragem e o
primeiro lugar para olhar.