Един поток, четири граници: намиране на последния пакет

Едната страна казва, че е изпратила трафика; другата казва, че той не е пристигнал никъде. Тази двойка твърдения звучи като противоречие и обикновено представлява просто две различни измервания. Брояч на пакети, журнал на защитната стена и прихващане описват различни слоеве и сравняването им без етикети дава заподозрян, а не място. Изградете доклада около един поток и неговите точки за наблюдение.

Брояч без контекст доказва малко

Шлюз, който отчита изходящи байтове, не е доказателство, че отдалечената страна е получила конкретна заявка. Броячът може да включва други потоци, други времена или друг слой на капсулиране. Брояч, който расте, докато дестинацията не вижда нищо, може да е правилен, защото е измервал друг въпрос. Преди да сравнявате каквото и да е, фиксирайте потока, прозореца и слоя.

Две числа от различни слоеве могат честно да се разминават. Разминаването е началото на разследването, а не заключението.

Обозначете всяка точка за наблюдение

За всяко наблюдение запишете устройството, интерфейса или куката, посоката, часовата референция и дали показва вътрешен трафик, или външния транспорт. Журнал на защитната стена на хоста и прихващане на възходящия канал са различни доказателства, дори когато ги делят секунди. Етикетът е това, което позволява на друг инженер да възпроизведе картината.

Дръжте проблема с часовника видим. Часовниците се разминават и времеви печат от един хост може да не е пряко сравним с такъв от друг. Ако хостовете не могат да се синхронизират, оградете опита с времеви печати от двата и използвайте подредбата, а не абсолютната стойност. Запишете измереното отместване, вместо тихо да коригирате времената.

Съпоставете полетата, които точката действително показва

Сравнявайте адреси и протоколни полета в точки, които действително ги показват. Отчитайте умишленото преобразуване, защото пренаписаният кортеж е все същият разговор. За разрешен тест IPv4 Echo дефиницията на RFC 792 дава полета за идентификатор и последователност, които помагат за съпоставяне на заявки и отговори. Пазете и адресите, и прозореца, защото една стойност за последователност не е уникална идентичност.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Когато външният сегмент е криптиран, дръжте разговора с партньора и посоката му в отделен запис. Не бива да се очаква вътрешният идентификатор Echo да оцелее навън в същата форма. Външните и вътрешните бройки не бива да се сравняват, без да се посочи представянето.

Съобщете липсващия интервал, а не заподозрян

Липсващото наблюдение е ограничено доказателство, а не доказателство за загуба на това устройство. Филтрите, разположението на прихващането, изгубените данни от прихващането и прозорец, който е пропуснал опита, всички създават непълен запис. Кажете какво липсва и между кои граници. Липсата също се нуждае от срок, затова посочете колко дълго сте наблюдавали и какво е трябвало да се появи.

Твърдението на другата страна, че е препратила трафика, е контекст, никога наблюдение. Предайте потока, времевите печати, обозначените граници и един тесен пример. Дръжте доклада достатъчно кратък, за да изпъкне поисканото наблюдение. Това превръща следващата заявка в прецизно измерване, вместо в обвинение.

Поставете поисканото измерване в едно изречение. След това спрете да пишете.