Μία ροή, τέσσερα όρια: βρίσκοντας το τελευταίο πακέτο

Η μία πλευρά λέει ότι έστειλε την κίνηση· η άλλη λέει ότι δεν έφτασε πουθενά. Αυτό το ζεύγος δηλώσεων ακούγεται σαν αντίφαση και συνήθως είναι μόνο δύο διαφορετικές μετρήσεις. Ένας μετρητής πακέτων, ένα αρχείο καταγραφής τείχους προστασίας και μια σύλληψη περιγράφουν διαφορετικά επίπεδα, και η σύγκρισή τους χωρίς ετικέτες παράγει έναν ύποπτο αντί για μια θέση. Χτίστε την αναφορά γύρω από μία ροή και τα σημεία παρατήρησής της.

Ένας μετρητής χωρίς πλαίσιο αποδεικνύει λίγα

Μια πύλη που αναφέρει εξερχόμενα byte δεν είναι απόδειξη ότι το απομακρυσμένο άκρο έλαβε ένα συγκεκριμένο αίτημα. Ο μετρητής μπορεί να περιλαμβάνει άλλες ροές, άλλες χρονικές στιγμές ή άλλο επίπεδο ενθυλάκωσης. Ένας μετρητής που αυξάνεται ενώ ο προορισμός δεν βλέπει τίποτα μπορεί να είναι ακόμη σωστός, επειδή μέτρησε διαφορετικό ερώτημα. Πριν συγκρίνετε οτιδήποτε, καθορίστε τη ροή, το παράθυρο και το επίπεδο.

Δύο αριθμοί από διαφορετικά επίπεδα μπορούν να διαφωνούν ειλικρινά. Η διαφωνία είναι η αρχή της έρευνας, όχι το συμπέρασμα.

Επισημάνετε κάθε σημείο παρατήρησης

Για κάθε παρατήρηση, καταγράψτε τη συσκευή, τη διεπαφή ή το hook, την κατεύθυνση, την αναφορά ρολογιού και αν δείχνει εσωτερική κίνηση ή την εξωτερική μεταφορά. Ένα αρχείο καταγραφής τείχους προστασίας στον κεντρικό υπολογιστή και μια σύλληψη στο uplink είναι διαφορετικά στοιχεία ακόμη και όταν απέχουν δευτερόλεπτα. Η ετικέτα είναι αυτή που επιτρέπει σε έναν άλλο μηχανικό να αναπαράγει την εικόνα.

Κρατήστε το πρόβλημα του ρολογιού ορατό. Τα ρολόγια αποκλίνουν, και μια χρονική σήμανση από έναν κεντρικό υπολογιστή μπορεί να μην είναι άμεσα συγκρίσιμη με μια άλλη. Αν οι κεντρικοί υπολογιστές δεν μπορούν να συγχρονιστούν, πλαισιώστε την προσπάθεια με χρονικές σημάνσεις και από τους δύο και χρησιμοποιήστε τη σειρά αντί για την απόλυτη τιμή. Σημειώστε τη μετατόπιση που μετρήσατε αντί να προσαρμόσετε σιωπηλά τους χρόνους.

Αντιστοιχίστε τα πεδία που εκθέτει πραγματικά το σημείο

Συγκρίνετε διευθύνσεις και πεδία πρωτοκόλλου σε σημεία που τα εκθέτουν πραγματικά. Λάβετε υπόψη τη σκόπιμη μετάφραση, επειδή μια ξαναγραμμένη πλειάδα είναι ακόμη η ίδια συνομιλία. Για μια εξουσιοδοτημένη δοκιμή IPv4 Echo, ο ορισμός RFC 792 δίνει πεδία αναγνωριστικού και ακολουθίας που βοηθούν στην αντιστοίχιση αιτημάτων και απαντήσεων. Κρατήστε επίσης τις διευθύνσεις και το παράθυρο, αφού μια τιμή ακολουθίας μόνη της δεν είναι μοναδική ταυτότητα.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Όπου το εξωτερικό σκέλος είναι κρυπτογραφημένο, κρατήστε τη συνομιλία με τον ομότιμο και την κατεύθυνσή της σε ξεχωριστή εγγραφή. Δεν πρέπει να αναμένεται ότι το εσωτερικό αναγνωριστικό Echo θα επιβιώσει έξω στην ίδια μορφή. Οι εξωτερικοί και εσωτερικοί μετρητές δεν πρέπει να συγκρίνονται χωρίς να δηλώνεται η αναπαράσταση.

Αναφέρετε το διάστημα που λείπει, όχι έναν ύποπτο

Μια απούσα παρατήρηση είναι περιορισμένη απόδειξη, όχι απόδειξη πτώσης σε εκείνη τη συσκευή. Τα φίλτρα, η θέση της σύλληψης, τα χαμένα δεδομένα σύλληψης και ένα παράθυρο που έχασε την προσπάθεια παράγουν όλα ένα ελλιπές αρχείο. Πείτε τι λείπει και μεταξύ ποιων ορίων. Η απουσία χρειάζεται επίσης λήξη, οπότε δηλώστε πόσο καιρό παρατηρήσατε και τι θα έπρεπε να είχε εμφανιστεί.

Ο ισχυρισμός της άλλης πλευράς ότι προώθησε την κίνηση είναι πλαίσιο, ποτέ παρατήρηση. Παραδώστε τη ροή, τις χρονικές σημάνσεις, τα επισημασμένα όρια και ένα στενό παράδειγμα. Κρατήστε την αναφορά αρκετά σύντομη ώστε να ξεχωρίζει η ζητούμενη παρατήρηση. Αυτό μετατρέπει το επόμενο αίτημα σε ακριβή μέτρηση αντί για κατηγορία.

Βάλτε τη ζητούμενη μέτρηση σε μία πρόταση. Στη συνέχεια σταματήστε να γράφετε.