Ein Fluss, vier Grenzen: das letzte Paket finden

Eine Seite sagt, sie habe den Verkehr gesendet; die andere sagt, er sei nirgendwo angekommen. Dieses Aussagenpaar klingt wie ein Widerspruch und ist meist nur zwei verschiedene Messungen. Ein Paketzähler, ein Firewall-Protokoll und ein Mitschnitt beschreiben verschiedene Schichten, und ihr Vergleich ohne Beschriftungen liefert einen Verdächtigen statt eines Ortes. Bauen Sie den Bericht um einen Fluss und seine Beobachtungspunkte herum auf.

Ein Zähler ohne Kontext beweist wenig

Ein Gateway, das ausgehende Bytes meldet, ist kein Beleg dafür, dass die Gegenstelle eine bestimmte Anfrage erhalten hat. Der Zähler kann andere Flüsse, andere Zeiten oder eine andere Kapselungsschicht umfassen. Ein Zähler, der steigt, während das Ziel nichts sieht, kann trotzdem korrekt sein, weil er eine andere Frage gemessen hat. Bevor Sie irgendetwas vergleichen, legen Sie den Fluss, das Zeitfenster und die Schicht fest.

Zwei Zahlen aus verschiedenen Schichten können sich ehrlich widersprechen. Der Widerspruch ist der Anfang der Untersuchung, nicht das Ergebnis.

Beschriften Sie jeden Beobachtungspunkt

Notieren Sie zu jeder Beobachtung das Gerät, die Schnittstelle oder den Hook, die Richtung, die Uhrreferenz und ob sie inneren Verkehr oder den äußeren Transport zeigt. Ein Firewall-Protokoll auf dem Host und ein Mitschnitt am Uplink sind unterschiedliche Belege, auch wenn sie nur Sekunden auseinanderliegen. Die Beschriftung ist es, die einen anderen Ingenieur die Sicht reproduzieren lässt.

Halten Sie das Uhrproblem sichtbar. Uhren driften, und ein Zeitstempel von einem Host ist möglicherweise nicht direkt mit dem eines anderen vergleichbar. Lassen sich die Hosts nicht synchronisieren, rahmen Sie den Versuch mit Zeitstempeln von beiden ein und nutzen Sie die Reihenfolge statt des absoluten Werts. Notieren Sie den gemessenen Versatz, statt die Zeiten stillschweigend anzupassen.

Vergleichen Sie die Felder, die der Punkt tatsächlich offenlegt

Vergleichen Sie Adressen und Protokollfelder an Punkten, die sie tatsächlich offenlegen. Berücksichtigen Sie absichtliche Übersetzung, denn ein umgeschriebenes Tupel ist immer noch dasselbe Gespräch. Für einen autorisierten IPv4-Echo-Test liefert die RFC-792-Definition Kennungs- und Sequenzfelder, die Anfragen und Antworten zuordnen helfen. Behalten Sie auch die Adressen und das Zeitfenster, denn ein Sequenzwert allein ist keine eindeutige Identität.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Wo das äußere Bein verschlüsselt ist, halten Sie das Peer-Gespräch und seine Richtung in einem getrennten Datensatz fest. Es ist nicht zu erwarten, dass die innere Echo-Kennung draußen in derselben Form überlebt. Äußere und innere Zähler dürfen nicht verglichen werden, ohne die Darstellung zu benennen.

Melden Sie das fehlende Intervall, nicht einen Verdächtigen

Eine fehlende Beobachtung ist begrenzter Beleg, kein Beweis für einen Verlust an diesem Gerät. Filter, die Platzierung des Mitschnitts, verlorene Mitschnittdaten und ein Zeitfenster, das den Versuch verpasst hat, ergeben alle eine unvollständige Aufzeichnung. Sagen Sie, was fehlt und zwischen welchen Grenzen. Auch eine Abwesenheit braucht ein Ablaufdatum, nennen Sie also, wie lange Sie beobachtet haben und was hätte erscheinen müssen.

Die Behauptung der Gegenseite, sie habe Verkehr weitergeleitet, ist Kontext, niemals eine Beobachtung. Übergeben Sie den Fluss, die Zeitstempel, die beschrifteten Grenzen und ein schmales Beispiel. Halten Sie den Bericht kurz genug, dass die angeforderte Beobachtung hervorsticht. Das macht die nächste Anfrage zu einer präzisen Messung statt zu einem Vorwurf.

Setzen Sie die angeforderte Messung in einen Satz. Hören Sie dann auf zu schreiben.