Απώλεια Ping σε VPN: ομαδοποιήστε τα αιτήματα Echo πριν από το ποσοστό

Μια καταγραφή περιέχει έξι αιτήματα Echo και τρεις απαντήσεις, και κάποιος γράφει στο δελτίο απώλεια πακέτων 50 τοις εκατό. Ο αριθμός μπορεί να ισχύει για την καταγραφή και να μην ισχύει για τη σήραγγα. Τα έξι αιτήματα μπορεί να ανήκουν σε δύο διαφορετικές συνομιλίες με δύο διαφορετικά συμβόλαια παράδοσης. Ομαδοποιήστε τα πριν διαιρέσετε, και η αναλογία παύει να είναι το ενδιαφέρον σημείο της αναφοράς.

Βήμα 1: διαχωρίστε τις ροές κατά πηγή και προορισμό

Ένα αίτημα Echo φέρει πηγή και προορισμό, και αυτά τα δύο πεδία καθορίζουν σε ποια συνομιλία ανήκει. Ένας ανιχνευτής που παράγεται από την πύλη χρησιμοποιεί τη διεύθυνση σήραγγας της πύλης, ενώ ένας ανιχνευτής που προωθείται για λογαριασμό κεντρικού υπολογιστή LAN διατηρεί τη διεύθυνση εκείνου του κεντρικού υπολογιστή. Η απομακρυσμένη πλευρά μπορεί να έχει διαδρομή επιστροφής για το ένα και όχι για το άλλο, κάτι που κάνει τις δύο ομάδες να συμπεριφέρονται διαφορετικά για λόγους που δεν έχουν σχέση με τη σήραγγα.

Διαχωρίστε την καταγραφή σε αυτά τα πεδία πριν μετρήσετε οτιδήποτε, και κρατήστε τον προορισμό ως μέρος του κλειδιού. Δύο ροές προς διαφορετικούς ομοτίμους δεν είναι συγκρίσιμες ακόμη και όταν μοιράζονται την ίδια πηγή.

Γράψτε τις ομάδες με τους αριθμούς τους, γιατί το επόμενο βήμα καθορίζει ποιες απαντήσεις ανήκουν σε ποια ομάδα. Μια ομάδα με τρία αιτήματα και καμία αντίστοιχη απάντηση είναι εύρημα. Μια ομάδα με τρία αιτήματα και τρεις απαντήσεις είναι γραμμή βάσης.

Βήμα 2: αντιστοιχίστε με το αναγνωριστικό και την ακολουθία

Η μορφή Echo στο RFC 792 φέρει αναγνωριστικό και αριθμό ακολουθίας, και τα αντιμετωπίζει ως τα πεδία που ζευγαρώνουν μια απάντηση με το αίτημά της. Χρειάζονται και τα δύο για αυτή τη δουλειά. Ένας αριθμός ακολουθίας μόνος του δεν είναι μοναδικός, αφού διαφορετικοί αποστολείς ή διεργασίες μπορούν να επαναχρησιμοποιήσουν την ίδια τιμή μέσα σε ένα παράθυρο καταγραφής. Το αναγνωριστικό περιορίζει τον αποστολέα και η ακολουθία τη θέση, και το ζεύγος μαζί είναι αυτό που κάνει μια αντιστοίχιση υπερασπίσιμη.

Μια απάντηση αντιστρέφει την κατεύθυνση διευθύνσεων του αιτήματός της, άρα μια αντιστοίχιση είναι ζεύγος αιτήματος-απάντησης και όχι δύο πανομοιότυπες πλειάδες. Συγκρίνετε την πηγή του αιτήματος με τον προορισμό της απάντησης και τον προορισμό του αιτήματος με την πηγή της απάντησης, και μετά επιβεβαιώστε ότι το αναγνωριστικό και η ακολουθία συμφωνούν.

Κρατήστε και το παράθυρο παρατήρησης, γιατί μια μεγάλη καταγραφή μπορεί να περιέχει νόμιμη επαναχρησιμοποίηση και των δύο πεδίων. Το κόψιμο του παραθύρου σε μία ριπή αφαιρεί το μεγαλύτερο μέρος αυτής της ασάφειας. Κάνει επίσης τις μετρήσεις αναπαραγώγιμες για όποιον διαβάζει το δελτίο.

tshark -r capture.pcap -Y 'icmp.type == 8' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq
tshark -r capture.pcap -Y 'icmp.type == 0' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq

Βήμα 3: συγκρίνετε τις πλειάδες στο ίδιο όριο

Αν η μετάφραση διευθύνσεων δικτύου βρίσκεται μεταξύ του σημείου καταγραφής και του ομοτίμου, οι διευθύνσεις στο αίτημα και την απάντηση θα διαφέρουν εξ ορισμού. Συγκρίνετε τις πλειάδες σε ένα όριο, ή μεταφέρετε την αντιστοίχιση ρητά ώστε η διαφορά να συνυπολογίζεται. Το ανακάτεμα αιτημάτων πριν από τη μετάφραση με απαντήσεις μετά τη μετάφραση επινοεί αναντιστοιχίες που δεν υπήρξαν ποτέ στο καλώδιο.

Αποφασίστε το όριο πριν αρχίσετε να μετράτε, και δηλώστε το στην αναφορά ώστε το επόμενο άτομο να μπορεί να αναπαράγει την ομαδοποίηση. Μια καταγραφή στην πλευρά του πελάτη και άλλη στην πλευρά του διακομιστή είναι δύο διαφορετικά όρια. Καθένα απαντά σε διαφορετικό ερώτημα για το πού εξαφανίστηκε η απάντηση.

Μια ομάδα μεταφρασμένων ανιχνευτών κληρονομεί επίσης την κατάσταση της ίδιας της συσκευής μετάφρασης, που μπορεί να είναι ο πραγματικός λόγος που μια απάντηση δεν φτάνει ποτέ. Ελέγξτε αυτή την κατάσταση πριν κατηγορήσετε τη διαδρομή πέρα από αυτήν.

tcpdump -ni any icmp and host 10.90.0.1 -c 20
tshark -r capture.pcap -Y 'icmp' -T fields -e ip.src -e ip.dst -e ip.ttl | head -20

Βήμα 4: πείτε τι μπορεί και τι δεν μπορεί να αποδείξει η καταγραφή

Ένα παρατηρούμενο κενό δεν αποδεικνύει ότι ο απομακρυσμένος κεντρικός υπολογιστής έμεινε σιωπηλός. Το σημείο καταγραφής μπορεί να βλέπει μόνο μία κατεύθυνση, ένα φίλτρο μπορεί να ρίξει την απάντηση, ή ο καταχωρητής να ξεχείλισε κατά το παράθυρο. Κάθε ένα από αυτά παράγει την ίδια απουσία και διαφορετικό συμπέρασμα.

Καταγράψτε τη θέση καταγραφής, την έκφραση φίλτρου και τους μετρητές απόρριψης δίπλα στις μετρήσεις, γιατί μια αναλογία χωρίς αυτά δεν μπορεί να ελεγχθεί. Αυτές οι τρεις γραμμές κάνουν τον αριθμό υπερασπίσιμο αργότερα.

Έπειτα ξεχωρίστε τι τεκμηριώνει η παρατήρηση από τι υπονοεί, σε δύο προτάσεις αντί για μία. Η πρώτη πρόταση δηλώνει τις μετρήσεις και το όριο. Η δεύτερη δηλώνει την υπόθεση και τι θα την επιβεβαίωνε.

Όταν το ερώτημα είναι αν μια συγκεκριμένη διαδρομή ρίχνει πακέτα, ένας ελεγχόμενος ανιχνευτής με ρητή διεύθυνση πηγής είναι ισχυρότερη απόδειξη από μια παθητική μέτρηση μικτής κίνησης. Στείλτε τον από το ίδιο μηχάνημα, την ίδια στιγμή, στον ίδιο ομότιμο. Αλλάξτε μία μεταβλητή και η σύγκριση ισχύει.

Αναφέρετε τις ομάδες και το επόμενο όριο

Η αναφορά έχει τρεις γραμμές: τον ορισμό της ομάδας, τις αντιστοιχισμένες μετρήσεις μέσα σε κάθε ομάδα και το όριο στο οποίο έγινε η σύγκριση. Τότε ο αναγνώστης βλέπει ότι μια ομάδα απάντησε πλήρως και μια άλλη όχι, κάτι που δείχνει διαδρομή ή άδεια και όχι τυχαία απώλεια.

Επισυνάψτε το αρχείο καταγραφής και τις εκφράσεις φίλτρων ώστε η ομαδοποίηση να είναι αναπαραγώγιμη. Μια σύνοψη χωρίς το αρχείο είναι ισχυρισμός και όχι αποτέλεσμα.

ping -c 5 -I 10.80.0.6 10.90.0.1
ping -c 5 -I 10.30.0.25 10.90.0.1
tshark -r capture.pcap -Y 'icmp.type == 8 || icmp.type == 0' -T fields -e ip.src -e ip.dst -e icmp.ident -e icmp.seq | sort | uniq -c | head

Όταν μια ομάδα δείχνει πέντε απαντήσεις και η άλλη καμία, το εύρημα είναι ότι μια πηγή έχει λειτουργική διαδρομή επιστροφής και η άλλη όχι. Αυτό είναι πολύ καλύτερο δελτίο από ένα μικτό ποσοστό, και κατευθύνει τον επόμενο έλεγχο στη διαδρομή επιστροφής αντί σε μια άσχετη παρουσία VPN.