Un flujo, cuatro fronteras: encontrar el último paquete

Un lado dice que envió el tráfico; el otro dice que no llegó a ninguna parte. Ese par de afirmaciones suena a contradicción y normalmente solo son dos mediciones distintas. Un recuento de paquetes, un registro del cortafuegos y una captura describen capas diferentes, y compararlos sin etiquetas produce un sospechoso en lugar de una ubicación. Construya el informe en torno a un flujo y sus puntos de observación.

Un contador sin contexto demuestra poco

Una puerta de enlace que informa bytes de salida no es prueba de que el extremo remoto recibiera una solicitud concreta. El contador puede incluir otros flujos, otros momentos u otra capa de encapsulación. Un contador que sube mientras el destino no ve nada puede seguir siendo correcto, porque midió otra pregunta. Antes de comparar nada, fije el flujo, la ventana y la capa.

Dos números de capas distintas pueden discrepar con honestidad. La discrepancia es el comienzo de la investigación, no la conclusión.

Etiquete cada punto de observación

Para cada observación, registre el dispositivo, la interfaz o el gancho, la dirección, la referencia de reloj y si muestra tráfico interno o el transporte externo. Un registro del cortafuegos en el host y una captura en el enlace ascendente son pruebas distintas aunque los separen segundos. La etiqueta es lo que permite a otro ingeniero reproducir la vista.

Mantenga visible el problema del reloj. Los relojes derivan, y una marca de tiempo tomada en un host puede no ser directamente comparable con otra. Si los hosts no se pueden sincronizar, delimite el intento con marcas de tiempo de ambos y use el orden en lugar del valor absoluto. Anote el desfase que midió en lugar de ajustar los tiempos en silencio.

Coincida con los campos que el punto expone realmente

Compare direcciones y campos de protocolo en puntos que realmente los exponen. Tenga en cuenta la traducción deliberada, porque una tupla reescrita sigue siendo la misma conversación. Para una prueba Echo IPv4 autorizada, la definición de RFC 792 ofrece campos de identificador y secuencia que ayudan a emparejar solicitudes y respuestas. Conserve también las direcciones y la ventana, ya que un valor de secuencia por sí solo no es una identidad única.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Donde la pata externa está cifrada, mantenga la conversación con el par y su dirección en un registro aparte. No cabe esperar que el identificador Echo interno sobreviva fuera con la misma forma. Los recuentos externos e internos no deben compararse sin declarar la representación.

Informe del intervalo que falta, no de un sospechoso

Una observación que falta es prueba limitada, no la prueba de una caída en ese dispositivo. Los filtros, la colocación de la captura, los datos de captura perdidos y una ventana que no cubrió el intento producen todos un registro incompleto. Diga qué falta y entre qué fronteras. Una ausencia también necesita caducidad, así que indique cuánto tiempo observó y qué debería haber aparecido.

La afirmación de la otra parte de que reenvió tráfico es contexto, nunca una observación. Entregue el flujo, las marcas de tiempo, las fronteras etiquetadas y un ejemplo estrecho. Mantenga el informe lo bastante corto para que destaque la observación solicitada. Eso convierte la siguiente solicitud en una medición precisa en lugar de una acusación.

Ponga la medición solicitada en una frase. Luego deje de escribir.