تدفق واحد وأربع حدود: العثور على الحزمة الأخيرة

يقول أحد الطرفين إنه أرسل حركة المرور؛ ويقول الآخر إنها لم تصل إلى أي مكان. تبدو هاتان العبارتان كتناقض، لكنهما عادةً مجرد قياسين مختلفين. عدّاد الحزم وسجل جدار الحماية والالتقاط تصف مستويات مختلفة، ومقارنتها دون تسميات تنتج مشتبهاً به بدلاً من موقع. ابنِ التقرير حول تدفق واحد ونقاط مراقبته.

عدّاد بلا سياق يثبت القليل

تقرير بوابة عن بايتات صادرة ليس دليلاً على أن الطرف البعيد تلقى طلباً محدداً. قد يشمل العدّاد تدفقات أخرى أو أوقاتاً أخرى أو طبقة أخرى من التغليف. العدّاد الذي يرتفع بينما لا ترى الوجهة شيئاً قد يظل صحيحاً، لأنه قاس سؤالاً مختلفاً. قبل مقارنة أي شيء، حدد التدفق والنافذة والطبقة.

يمكن لرقمين من طبقتين مختلفتين أن يختلفا بصدق. الخلاف هو بداية التحقيق، لا نهايته.

سمِّ كل نقطة مراقبة

لكل مشاهدة، سجّل الجهاز والواجهة أو الخطاف والاتجاه ومرجع الساعة وما إذا كانت تُظهر حركة داخلية أو النقل الخارجي. سجل جدار الحماية على المضيف والالتقاط على وصلة الرفع دليلان مختلفان حتى لو كانا متباعدين بثوانٍ. التسمية هي ما يتيح لمهندس آخر إعادة إنتاج الصورة.

أبقِ مشكلة الساعة ظاهرة. تنحرف الساعات، وقد لا يكون الطابع الزمني المأخوذ على مضيف واحد قابلاً للمقارنة المباشرة بطابع مضيف آخر. إذا تعذّرت مزامنة المضيفين، فأحِط المحاولة بطوابع زمنية من كليهما واستخدم الترتيب بدلاً من القيمة المطلقة. سجّل الإزاحة التي قستها بدلاً من تعديل الأوقات بصمت.

طابِق الحقول التي تكشفها النقطة فعلاً

قارن العناوين وحقول البروتوكول عند النقاط التي تكشفها فعلاً. احسب حساباً للترجمة المتعمدة، لأن الصف المُعاد كتابته يظل المحادثة نفسها. لاختبار Echo المرخّص عبر IPv4، يمنح تعريف RFC 792 حقلي المعرّف والتسلسل اللذين يساعدان في مطابقة الطلبات والردود. أبقِ العناوين والنافذة أيضاً، لأن قيمة تسلسل وحدها ليست هوية فريدة.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

حيث يكون الساق الخارجي مشفّراً، أبقِ محادثة النظير واتجاهها في سجل منفصل. لا ينبغي أن يُتوقع أن يبقى معرّف Echo الداخلي على الشكل نفسه في الخارج. لا يجوز مقارنة العدادات الخارجية والداخلية دون ذكر التمثيل.

أبلِغ عن الفترة المفقودة، لا عن مشتبه به

المشاهدة المفقودة دليل محدود، وليست إثباتاً لإسقاط عند ذلك الجهاز. المرشّحات وموضع الالتقاط وبيانات الالتقاط المفقودة ونافذة أخطأت المحاولة كلها تنتج سجلاً ناقصاً. قل ما المفقود وبين أي حدود. يحتاج الغياب أيضاً إلى انتهاء صلاحية، فاذكر مدة ما راقبت وما كان يجب أن يظهر.

ادعاء الطرف الآخر بأنه مرّر حركة المرور سياق، وليس مشاهدة أبداً. سلّم التدفق والطوابع الزمنية والحدود الموسومة ومثالاً ضيقاً واحداً. أبقِ التقرير قصيراً بما يكفي ليبرز ما طُلب رصده. فهذا يحوّل الطلب التالي إلى قياس دقيق بدلاً من اتهام.

ضع القياس المطلوب في جملة واحدة. ثم توقف عن الكتابة.