Un flux, quatre fronteres: trobar l’últim paquet

Una banda diu que ha enviat el trànsit; l’altra diu que no ha arribat enlloc. Aquest parell d’afirmacions sona com una contradicció i normalment només són dues mesures diferents. Un recompte de paquets, un registre del tallafoc i una captura descriuen capes diferents, i comparar-los sense etiquetes produeix un sospitós en lloc d’una ubicació. Construïu l’informe al voltant d’un flux i dels seus punts d’observació.

Un comptador sense context demostra poc

Una passarel·la que informa de bytes de sortida no és prova que l’extrem llunyà hagi rebut una petició concreta. El comptador pot incloure altres fluxos, altres moments o una altra capa d’encapsulament. Un comptador que puja mentre la destinació no veu res pot continuar sent correcte, perquè mesurava una pregunta diferent. Abans de comparar res, fixeu el flux, la finestra i la capa.

Dos nombres de capes diferents poden discrepar honestament. La discrepància és el començament de la investigació, no la conclusió.

Etiqueteu cada punt d’observació

Per a cada observació, registreu el dispositiu, la interfície o el ganxo, la direcció, la referència de rellotge i si mostra trànsit intern o el transport extern. Un registre del tallafoc a l’amfitrió i una captura a l’enllaç ascendent són proves diferents encara que els separin segons. L’etiqueta és el que permet a un altre enginyer reproduir la visió.

Mantingueu visible el problema del rellotge. Els rellotges deriven, i una marca de temps presa en un amfitrió pot no ser directament comparable amb una altra. Si els amfitrions no es poden sincronitzar, envolteu l’intent amb marques de temps dels dos i feu servir l’ordre en lloc del valor absolut. Anoteu el desplaçament que heu mesurat en lloc d’ajustar els temps en silenci.

Feu coincidir els camps que el punt realment exposa

Compareu adreces i camps de protocol en punts que realment els exposen. Tingueu en compte la traducció deliberada, perquè una tupla reescrita continua sent la mateixa conversa. Per a una prova Echo IPv4 autoritzada, la definició de RFC 792 ofereix camps d’identificador i de seqüència que ajuden a aparellar peticions i respostes. Conserveu també les adreces i la finestra, ja que un valor de seqüència sol no és una identitat única.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

On la pota externa està xifrada, manteniu la conversa amb l’igual i la seva direcció en un registre separat. No cal esperar que l’identificador Echo intern sobrevisqui a fora amb la mateixa forma. Els comptes externs i interns no s’han de comparar sense declarar la representació.

Informeu de l’interval que falta, no d’un sospitós

Una observació que falta és una prova limitada, no la prova d’una caiguda en aquell dispositiu. Els filtres, la col·locació de la captura, les dades de captura perdudes i una finestra que va perdre l’intent produeixen tots un registre incomplet. Digueu què falta i entre quines fronteres. Una absència també necessita una caducitat, així que indiqueu quant de temps heu observat i què hauria hagut d’aparèixer.

L’afirmació de l’altra banda que ha reenviat trànsit és context, mai una observació. Lliureu el flux, les marques de temps, les fronteres etiquetades i un exemple estret. Mantingueu l’informe prou curt perquè destaqui l’observació sol·licitada. Això converteix la petició següent en un mesurament precís en lloc d’una acusació.

Poseu el mesurament sol·licitat en una frase. Després deixeu d’escriure.