Én strøm, fire grænser: at finde den sidste pakke

Den ene side siger, at den sendte trafikken; den anden siger, at den ikke nåede nogen steder hen. Det par udsagn lyder som en modsætning og er normalt blot to forskellige målinger. Et pakketal, en firewall-log og en optagelse beskriver forskellige lag, og at sammenligne dem uden etiketter giver en mistænkt i stedet for en placering. Byg rapporten op omkring én strøm og dens observationspunkter.

En tæller uden kontekst beviser lidt

En gateway, der rapporterer udgående bytes, er ikke bevis for, at den fjerne ende modtog en bestemt anmodning. Tælleren kan omfatte andre strømme, andre tidspunkter eller et andet indkapslingslag. En tæller, der stiger, mens destinationen intet ser, kan stadig være korrekt, fordi den målte et andet spørgsmål. Før du sammenligner noget, skal du fastlægge strømmen, vinduet og laget.

To tal fra forskellige lag kan være ærligt uenige. Uenigheden er begyndelsen på undersøgelsen, ikke konklusionen.

Mærk hvert observationspunkt

For hver observation skal du registrere enheden, grænsefladen eller hooket, retningen, urreferencen og om den viser indre trafik eller den ydre transport. En firewall-log på værten og en optagelse på uplink er forskellige beviser, selv når de er sekunder fra hinanden. Etiketten er det, der lader en anden ingeniør genskabe billedet.

Hold urproblemet synligt. Ure driver, og et tidsstempel taget på én vært er måske ikke direkte sammenligneligt med et andet. Hvis værterne ikke kan synkroniseres, skal du indramme forsøget med tidsstempler fra begge og bruge rækkefølgen i stedet for den absolutte værdi. Notér den målte forskydning i stedet for stiltiende at justere tiderne.

Match de felter, punktet faktisk eksponerer

Sammenlign adresser og protokolfelter på punkter, der faktisk eksponerer dem. Tag højde for bevidst oversættelse, fordi en omskrevet tuple stadig er den samme samtale. Til en autoriseret IPv4 Echo-test giver RFC 792-definitionen identifikator- og sekvensfelter, der hjælper med at matche anmodninger og svar. Behold også adresserne og vinduet, da en sekvensværdi alene ikke er en unik identitet.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Hvor det ydre ben er krypteret, skal du holde peer-samtalen og dens retning i en separat post. Man bør ikke forvente, at den indre Echo-identifikator overlever udenfor i samme form. Ydre og indre tællinger må ikke sammenlignes uden at angive repræsentationen.

Rapportér det manglende interval, ikke en mistænkt

En manglende observation er begrænset bevis, ikke bevis for et drop på den enhed. Filtre, optagelsens placering, mistede optagelsesdata og et vindue, der missede forsøget, giver alle en ufuldstændig post. Sig, hvad der mangler, og mellem hvilke grænser. En manglende observation har også brug for en udløbsdato, så angiv, hvor længe du observerede, og hvad der burde være dukket op.

Den anden sides påstand om, at den videresendte trafik, er kontekst, aldrig en observation. Overlever strømmen, tidsstemplerne, de mærkede grænser og ét smalt eksempel. Hold rapporten kort nok til, at den ønskede observation skiller sig ud. Det gør den næste anmodning til en præcis måling i stedet for en anklage.

Sæt den ønskede måling i én sætning. Så stop med at skrive.