Een stroom, vier grense: die laaste pakket vind

Die een kant sê hy het die verkeer gestuur; die ander kant sê dit het nêrens aangekom. Daardie twee stellings klink soos 'n teenstrydigheid en is gewoonlik net twee verskillende metings. 'n Pakkettelling, 'n brandmuurlog en 'n opname beskryf verskillende lae, en om hulle sonder etikette te vergelyk lewer 'n verdagte in plaas van 'n ligging. Bou die verslag rondom een stroom en sy waarnemingspunte.

'n Telling sonder konteks bewys min

'n Poort wat uitgaande grepe rapporteer, is nie bewys dat die ander kant 'n spesifieke versoek ontvang het nie. Die telling kan ander strome, ander tye of 'n ander laag van inkapseling insluit. 'n Telling wat styg terwyl 'n bestemming niks sien, kan steeds korrek wees, want dit het 'n ander vraag gemeet. Voordat jy enigiets vergelyk, moet jy die stroom, die venster en die laag vasstel.

Twee getalle uit verskillende lae kan eerlik verskil. Die verskil is die begin van die ondersoek, nie die gevolgtrekking nie.

Etiketteer elke waarnemingspunt

Teken vir elke waarneming die toestel, die koppelvlak of haak, die rigting, die klokverwysing en of dit binneste verkeer of die buitenste vervoer toon, aan. 'n Brandmuurlog op die gasheer en 'n opname op die oprit is verskillende bewyse, selfs wanneer hulle sekondes uitmekaar is. Die etiket is wat 'n ander ingenieur in staat stel om die beeld te herproduseer.

Hou die klokprobleem sigbaar. Klokke dryf, en 'n tydstempel wat op een gasheer geneem is, is dalk nie direk met dié van 'n ander vergelykbaar nie. As die gashere nie gesinkroniseer kan word nie, omring die poging met tydstempels van albei en gebruik die volgorde eerder as die absolute waarde. Let op die verskuiwing wat jy gemeet het eerder as om die tye stilweg aan te pas.

Pas die velde wat die punt werklik blootstel

Vergelyk adresse en protokolvelde by punte wat hulle werklik blootstel. Hou rekening met doelbewuste vertaling, want 'n herskrewe tuple is steeds dieselfde gesprek. Vir 'n gemagtigde IPv4 Echo-toets gee die RFC 792-definisie identifiseerder- en volgordebolde wat help om versoeke en antwoorde te pas. Hou ook die adresse en die venster, want 'n volgordewaarde alleen is nie 'n unieke identiteit nie.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Waar die buitenste been geënkripteer is, hou die eweknie-gesprek en sy rigting in 'n aparte rekord. Daar word nie van die binneste Echo-identifiseerder verwag om buite in dieselfde vorm te oorleef nie. Buitenste en binneste tellings moet nie vergelyk word sonder om die voorstelling te noem nie.

Rapporteer die ontbrekende interval, nie 'n verdagte nie

'n Ontbrekende waarneming is begrensde bewyse, nie bewys van 'n val by daardie toestel nie. Filters, die plasing van die opname, weggevalle opnamedata en 'n venster wat die poging gemis het, lewer almal 'n onvolledige rekord. Sê wat ontbreek en tussen watter grense. 'n Afwesigheid het ook 'n vervaldatum nodig, so noem hoe lank jy waargeneem het en wat sou moes verskyn.

'n Bewering van die ander kant dat hy verkeer aangestuur het, is konteks, nooit 'n waarneming nie. Oorhandig die stroom, die tydstempels, die gemerkte grense en een nou voorbeeld. Hou die verslag kort genoeg dat die gevraagde waarneming uitstaan. Dit maak die volgende versoek 'n presiese meting in plaas van 'n beskuldiging.

Plaas die gevraagde meting in een sin. Hou dan op skryf.