Bir axın, dörd sərhəd: son paketi tapmaq

Bir tərəf trafiki göndərdiyini deyir; digər tərəf onun heç yerə çatmadığını deyir. Bu iki ifadə ziddiyyət kimi səslənir və adətən sadəcə iki fərqli ölçmədir. Paket sayı, firewall jurnalı və tutma fərqli qatları təsvir edir və onları etiketsiz müqayisə etmək yer əvəzinə şübhəli yaradır. Hesabatı bir axın və onun müşahidə nöqtələri ətrafında qur.

Kontekstsiz sayğac az şey sübut edir

Çıxan baytları bildirən şlüz, uzaq tərəfin müəyyən bir sorğunu aldığına dair sübut deyil. Sayğac digər axınları, digər vaxtları və ya başqa bir inkapsulyasiya qatını əhatə edə bilər. Təyinat heç nə görmürkən artan sayğac yenə də doğru ola bilər, çünki fərqli bir sualı ölçüb. Hər şeyi müqayisə etməzdən əvvəl axını, pəncərəni və qatı təyin et.

Fərqli qatlardan iki ədəd dürüst şəkildə ziddiyyət təşkil edə bilər. Bu ziddiyyət araşdırmanın başlanğıcıdır, nəticəsi deyil.

Hər müşahidə nöqtəsini etiketlə

Hər müşahidə üçün cihazı, interfeysi və ya qarmağı, istiqaməti, saat istinadını və onun daxili trafiki yoxsa xarici nəqli göstərdiyini qeyd et. Hostdakı firewall jurnalı və uplinkdəki tutma, saniyələrlə fərqlənsələr belə, fərqli sübutlardır. Etiket başqa bir mühəndisin görünüşü təkrar yaratmasına imkan verən şeydir.

Saat problemini görünən saxla. Saatlar sürüşür və bir hostda götürülən zaman damğası digəri ilə birbaşa müqayisə oluna bilməz. Hostları sinxronlaşdırmaq mümkün deyilsə, cəhdi hər ikisinin zaman damğaları ilə əhatə et və mütləq dəyər yerinə sıralamadan istifadə et. Vaxtları səssizcə düzəltmək yerinə ölçdüyün ofseti qeyd et.

Nöqtənin həqiqətən açdığı sahələri uyğunlaşdır

Ünvanları və protokol sahələrini onları həqiqətən açan nöqtələrdə müqayisə et. Qəsdən edilən tərcüməni nəzərə al, çünki yenidən yazılmış tuple hələ də eyni söhbətdir. Avtorizasiyalı IPv4 Echo testi üçün RFC 792 tərifi sorğuları və cavabları uyğunlaşdırmağa kömək edən identifikator və ardıcıllıq sahələri verir. Ünvanları və pəncərəni də saxla, çünki tək ardıcıllıq dəyəri unikal kimlik deyil.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Xarici ayaq şifrələndiyi yerdə, həmkar söhbətini və onun istiqamətini ayrı qeyddə saxla. Daxili Echo identifikatorunun kənarda eyni formada qalması gözlənilməməlidir. Xarici və daxili saylar təmsil qeyd edilmədən müqayisə olunmamalıdır.

İtkin intervalı bildir, şübhəli şəxsi yox

İtkin müşahidə məhdud sübutdur, həmin cihazda düşmənin sübutu deyil. Filtrlər, tutmanın yerləşdirilməsi, itirilən tutma məlumatları və cəhdi qaçıran pəncərə hamısı natamam qeyd yaradır. Nəyin itdiyini və hansı sərhədlər arasında olduğunu de. Yoxluğun bitmə vaxtı da lazımdır, ona görə nə qədər müşahidə etdiyini və nəyin görünməli olduğunu bildir.

Qarşı tərəfin trafiki ötürdüyü iddiası kontekstdir, heç vaxt müşahidə deyil. Axını, zaman damğalarını, etiketlənmiş sərhədləri və bir dar nümunəni təqdim et. Hesabatı tələb olunan müşahidə seçiləcək qədər qısa saxla. Bu, növbəti sorğunu ittiham yerinə dəqiq ölçməyə çevirir.

Tələb olunan ölçməni bir cümləyə qoy. Sonra yazmağı dayandır.