Akış Örneklemesi Nedir?

Yüz gigabitlik bir arayüzde her paketi ayrı ayrı işleyip akış tablosunda tutmak, cihazın işlem gücünün büyük kısmını yer. Üreticiler bu yüzden örnekleme kullanır: paketlerin belirli bir oranda seçilenleri kayda alınır, gerisi sayılmaz.

Oran genellikle bin ya da on binde bir seviyesindedir ve arayüz hızıyla birlikte seyrelir. Gerisi hiç sayılmaz.

İstatistiğin Çalıştığı Yer

Örnekleme, toplam hacmi tahmin etmekte iyidir. Bin pakette bir örnek alınıyorsa, görülen her akışın bayt sayısı binle çarpılır ve sonuç gerçeğe yakın çıkar.

Bu, kapasite planlaması ve trafik dağılımı raporları için yeterlidir. Hangi uygulamanın hattı doldurduğu sorusuna güvenilir cevap verir.

Çalışmadığı Yer

Küçük ve kısa olaylar örneklemenin arasından geçer.

Bir port taraması yüzlerce ayrı akış üretir ama her akış birkaç pakettir. Binde bir örneklemede bunların çoğu hiç görünmez. Aynı şey komuta trafiği için de geçerlidir: düzenli aralıklarla giden küçük bağlantılar, tam da örnekleme tarafından süzülen boyuttadır.

DDoS analizinde ayrı bir sorun çıkar. Saniyeler süren bir patlama örnekleme penceresine yeterince paket bırakmaz ve grafikte gerçek yüksekliğinden düşük görünür. Saldırının kaç Mpps olduğu sorusu, örneklenmiş veriden doğru cevaplanmaz.

Ne Yapılır

Örnekleme oranı bilinmeden hiçbir akış raporu yorumlanmamalıdır. Rapor üzerinde oranın yazılı olması, sayının nasıl elde edildiğini gösterir.

Kritik noktalarda ise örnekleme kapatılır ya da oran düşürülür. Bunun bedeli cihaz üzerinde işlem yükü, toplayıcı tarafında ise depolama alanıdır. Sınır hatlarında ve sunucu bölümü girişlerinde bu bedel genellikle ödenmeye değer; çekirdek omurgada nadiren.