Адзін паток, чатыры межы: як знайсці апошні пакет

Адзін бок кажа, што адправіў трафік; другі бок кажа, што ён нікуды не дайшоў. Гэта пара сцверджанняў гучыць як супярэчнасць, але звычайна гэта проста два розныя вымярэнні. Лічыльнік пакетаў, журнал міжсеткавага экрана і захаванне апісваюць розныя ўзроўні, і параўнанне іх без пазнак дае падазронага замест месца. Будуйце справаздачу вакол аднаго патоку і яго пунктаў назірання.

Лічыльнік без кантэксту мала што даказвае

Шлюз, які паведамляе пра выхадныя байты, не з'яўляецца доказам таго, што далёкі бок атрымаў канкрэтны запыт. Лічыльнік можа ўключаць іншыя патокі, іншыя часы або іншы ўзровень інкапсуляцыі. Лічыльнік, які расце, пакуль прызначэнне нічога не бачыць, можа быць правільным, бо ён вымяраў іншае пытанне. Перад тым як нешта параўноўваць, зафіксуйце паток, акно і ўзровень.

Два лікі з розных узроўняў могуць сумленна разыходзіцца. Гэта разыходжанне — пачатак расследавання, а не вынік.

Пазначце кожны пункт назірання

Для кожнага назірання фіксуйце прыладу, інтэрфейс або крук, напрамак, апорны час і тое, ці паказвае яно ўнутраны трафік або знешні транспарт. Журнал міжсеткавага экрана на хаспе і захаванне на ўзыходным канале — розныя доказы, нават калі іх раздзяляюць секунды. Менавіта пазнака дазваляе іншаму інжынеру ўзнавіць карціну.

Трымайце праблему гадзінніка бачнай. Гадзіннікі дрыфтуюць, і час, зняты на адным хаспе, можа быць непасрэдна не супастаўным з часам на іншым. Калі хасты нельга сінхранізаваць, абмяжуйце спробу адзнакамі часу з абодвух і выкарыстоўвайце парадак, а не абсалютнае значэнне. Занатуйце вымеранае зрушэнне, а не маўкліва падпраўляйце час.

Параўноўвайце палі, якія пункт фактычна паказвае

Параўноўвайце адрасы і палі пратакола ў пунктах, якія іх фактычна паказваюць. Улічвайце наўмыснае пераўтварэнне, бо перазапісаны картэж — гэта ўсё яшчэ тая самая размова. Для дазволенага тэсту IPv4 Echo азначэнне RFC 792 дае поля ідэнтыфікатара і паслядоўнасці, якія дапамагаюць супаставіць запыты і адказы. Захоўвайце таксама адрасы і акно, бо адно значэнне паслядоўнасці не з'яўляецца ўнікальнай ідэнтычнасцю.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Там, дзе знешні ўчастак зашыфраваны, трымайце размову з партнёрам і яе напрамак у асобным запісе. Не варта чакаць, што ўнутраны ідэнтыфікатар Echo захаваецца звонку ў той самай форме. Знешнія і ўнутраныя лічбы нельга параўноўваць, не ўказаўшы прадстаўленне.

Паведамляйце пра прапушчаны інтэрвал, а не пра падазронага

Адсутнае назіранне — гэта абмежаваны доказ, а не доказ скіду менавіта на гэтай прыладзе. Фільтры, размяшчэнне захавання, страчаныя даныя захавання і акно, якое прапусціла спробу, — усё гэта стварае няпоўны запіс. Скажыце, чаго не хапае і паміж якімі межамі. Адсутнасць таксама патрабуе тэрміну, таму ўкажыце, колькі вы назіралі і што павінна было з'явіцца.

Сцверджанне іншага боку пра тое, што ён перадаў трафік, — гэта кантэкст, а не назіранне. Перадайце паток, адзнакі часу, пазначаныя межы і адзін вузкі прыклад. Трымайце справаздачу дастаткова кароткай, каб патрабаванае назіранне вылучалася. Гэта ператварае наступны запыт у дакладнае вымярэнне замест абвінавачвання.

Змясціце патрабаванае вымярэнне ў адзін сказ. Затым спыніцеся пісаць.