агрегация netflow

у меня предполагается постройка графиков в rrdtools поэтому пять минут и сутки

Да как-бы... много от чего зависит.
Датчик и коллекторы на разных машинах стоят ?
Обмениваются по локалке, либо через внешние каналы ?
Как много статистики накапливается (от подконтрольного трафика зависит)

о ! я вопрос не так понял :)
Тогда, естественно по суткам,
а по более мелким промежуткам - как ваш биллинг считает. Если он есть вообще.

Биллинг есть, вернее пока это только трафикосчиталка, решил переделать, изначально заложил возможность устанавливать произвольный период агрегации. Для опытов использовал 15 минутный период агрегации. Изначально делал коллектор отдельно от основной части, но увидев как  нагружается канал при активном вирусе в сетке, понял что 100мб, а может и 1000мб может не хватить для передачи, поэтому решил сделать всё в одном.

Кстати у меня тут как-то совсем недовно возник вопрос: netflow как я понял считает на cетевом уровне, т.е все заголовки, которые прибавляются на следующих уровнях модели ОСИ не подсчитваются? Правильно ли я понял? И если да, то много ли трафика гонятеся вот так вот без учета? Есть ли пруфлинки на такие исследования?

зависит от export-ёра

Пруфлинков не найду, но по опыту - процентов 15-20. Сравнивалось на цифрах, полученных с помощью SMTP и Netflow для одних и тех же каналов.