Unu fluo, kvar limoj: trovi la lastan paketon

Unu flanko diras, ke ĝi sendis la trafikon; la alia diras, ke ĝi alvenis nenie. Tiu paro da asertoj sonas kiel kontraŭdiro kaj kutime estas nur du malsamaj mezuroj. Paketa kalkulo, fajroŝirma protokolo kaj kaptaĵo priskribas malsamajn tavolojn, kaj kompari ilin sen etikedoj produktas suspektaton anstataŭ lokon. Konstruu la raporton ĉirkaŭ unu fluo kaj ĝiaj observpunktoj.

Kalkulo sen kunteksto pruvas malmulte

Enirejo raportanta elirajn bajtojn ne estas pruvo, ke la malproksima fino ricevis specifan peton. La kalkulo povas inkluzivi aliajn fluojn, aliajn tempojn aŭ alian enkapsuligan tavolon. Kalkulo, kiu kreskas dum la celo vidas nenion, tamen povas esti ĝusta, ĉar ĝi mezuris alian demandon. Antaŭ ol kompari ion ajn, fiksu la fluon, la fenestron kaj la tavolon.

Du nombroj el malsamaj tavoloj povas honeste malkonsenti. La malkonsento estas la komenco de la esploro, ne la konkludo.

Etikedu ĉiun observpunkton

Por ĉiu observo, registru la aparaton, la interfacon aŭ hokon, la direkton, la horloĝan referencon kaj ĉu ĝi montras internan trafikon aŭ la eksteran transporton. Fajroŝirma protokolo sur la gastiganto kaj kaptaĵo sur la suprenligo estas malsamaj pruvoj eĉ kiam ilin apartigas sekundoj. La etikedo estas tio, kio ebligas al alia inĝeniero reprodukti la bildon.

Tenu la horloĝan problemon videbla. Horloĝoj drivas, kaj tempomarko prenita sur unu gastiganto eble ne estas rekte komparebla kun alia. Se la gastigantoj ne povas esti sinkronigitaj, ĉirkaŭu la provon per tempomarkoj de ambaŭ kaj uzu la ordon anstataŭ la absolutan valoron. Notu la mezuritan dekliniĝon anstataŭ silente ĝustigi la tempojn.

Kongruu la kampojn, kiujn la punkto efektive montras

Kompari adresojn kaj protokolajn kampojn ĉe punktoj, kiuj efektive montras ilin. Konsideru intencan tradukon, ĉar reskribita opo ankoraŭ estas la sama konversacio. Por rajtigita IPv4 Echo-testo, la difino de RFC 792 donas identigan kaj sekvencajn kampojn, kiuj helpas kongruigi petojn kaj respondojn. Konservu ankaŭ la adresojn kaj la fenestron, ĉar sekvenca valoro sola ne estas unika identeco.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Kie la ekstera kruro estas ĉifrita, tenu la kunulan konversacion kaj ĝian direkton en aparta rikordo. Oni ne atendu, ke la interna Echo-identigilo postvivos ekstere en la sama formo. Eksteraj kaj internaj kalkuloj ne devas esti komparataj sen deklari la reprezenton.

Raportu la mankantan intervalon, ne suspektaton

Mankanta observo estas limigita pruvo, ne pruvo de perdo ĉe tiu aparato. Filtroj, la lokigo de la kaptaĵo, perditaj kaptaĵaj datumoj kaj fenestro, kiu maltrafis la provon, ĉiuj produktas nekompletan rikordon. Diru, kio mankas kaj inter kiuj limoj. Manko ankaŭ bezonas finitecon, do indiku, kiom longe vi observis kaj kio devintus aperi.

La aserto de la alia flanko, ke ĝi plusendis trafikon, estas kunteksto, neniam observo. Transdonu la fluon, la tempomarkojn, la etikeditajn limojn kaj unu mallarĝan ekzemplon. Tenu la raporton sufiĉe mallonga, ke la petita observo elstaru. Tio igas la sekvan peton preciza mezuro anstataŭ akuzo.

Metu la petitan mezuron en unu frazon. Poste ĉesu skribi.