Jeden tok, čtyři hranice: hledání posledního paketu

Jedna strana tvrdí, že provoz odeslala; druhá tvrdí, že nikam nedorazil. Tahle dvojice tvrzení zní jako rozpor a obvykle jde jen o dvě různá měření. Počet paketů, záznam firewallu a odchyt popisují různé vrstvy a jejich porovnávání bez popisků dává podezřelého místo místa. Postavte zprávu kolem jednoho toku a jeho pozorovacích míst.

Počítadlo bez kontextu dokazuje málo

Brána hlásící odchozí bajty není důkazem, že vzdálená strana obdržela konkrétní požadavek. Počítadlo může zahrnovat jiné toky, jiné časy nebo jinou vrstvu zapouzdření. Počítadlo, které roste, zatímco cíl nic nevidí, může být přesto správné, protože měřilo jinou otázku. Než cokoli porovnáte, zafixujte tok, okno a vrstvu.

Dvě čísla z různých vrstev se mohou poctivě rozcházet. Rozpor je začátek vyšetřování, ne závěr.

Označte každé pozorovací místo

U každého pozorování zaznamenejte zařízení, rozhraní nebo háček, směr, časovou referenci a zda ukazuje vnitřní provoz, nebo vnější transport. Záznam firewallu na hostiteli a odchyt na uplinku jsou různé důkazy, i když je dělí sekundy. Právě popisek umožňuje jinému inženýrovi pohled zreprodukovat.

Udržujte problém hodin viditelný. Hodiny se rozejdou a časové razítko z jednoho hostitele nemusí být přímo srovnatelné s jiným. Pokud hostitele nelze synchronizovat, ohraničte pokus razítky z obou a použijte pořadí místo absolutní hodnoty. Poznamenejte naměřený posun, místo abyste časy tiše upravovali.

Srovnávejte pole, která místo skutečně ukazuje

Porovnávejte adresy a protokolová pole v místech, která je skutečně ukazují. Počítejte se záměrným překladem, protože přepsaný tuple je stále stejná konverzace. Pro povolený test IPv4 Echo dává definice RFC 792 pole identifikátoru a sekvence, která pomáhají spárovat požadavky a odpovědi. Zachovejte i adresy a okno, protože samotná hodnota sekvence není jedinečná identita.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Kde je vnější úsek šifrovaný, držte konverzaci s protějškem a její směr v samostatném záznamu. Nelze očekávat, že vnitřní identifikátor Echo přežije venku ve stejném tvaru. Vnější a vnitřní počty se nesmějí porovnávat bez uvedení reprezentace.

Hlaste chybějící interval, ne podezřelého

Chybějící pozorování je omezený důkaz, ne důkaz ztráty právě na tom zařízení. Filtry, umístění odchytu, ztracená data odchytu a okno, které pokus minulo, to vše vytváří neúplný záznam. Řekněte, co chybí a mezi kterými hranicemi. Nepřítomnost také potřebuje expiraci, proto uveďte, jak dlouho jste pozorovali a co se mělo objevit.

Tvrzení druhé strany, že provoz předala, je kontext, nikdy pozorování. Předejte tok, časová razítka, označené hranice a jeden úzký příklad. Držte zprávu dost krátkou, aby vyniklo požadované pozorování. Tím se příští žádost změní v přesné měření místo obvinění.

Vložte požadované měření do jedné věty. Potom přestaňte psát.