Üks voog, neli piiri: viimase paketi leidmine

Üks pool ütleb, et saatis liikluse; teine ütleb, et see ei jõudnud kuhugi. See väidete paar kõlab vastuoluna ja on tavaliselt lihtsalt kaks erinevat mõõtmist. Paketilugur, tulemüüri logi ja püüdmine kirjeldavad erinevaid kihte ning nende võrdlemine ilma siltideta annab kahtlusaluse, mitte asukoha. Koostage aruanne ühe voo ja selle vaatluspunktide ümber.

Kontekstita lugur tõestab vähe

Väljuvaid baite teatav lüüs ei ole tõestus, et kaugem ots sai konkreetse päringu. Lugur võib hõlmata teisi vooge, teisi aegu või teist kapselduskihti. Lugur, mis kasvab, samal ajal kui sihtkoht ei näe midagi, võib ikkagi olla õige, sest see mõõtis teist küsimust. Enne millegi võrdlemist fikseerige voog, aken ja kiht.

Kaks erinevate kihtide arvu võivad ausalt lahkneda. See lahknevus on uurimise algus, mitte järeldus.

Märgistage iga vaatluspunkt

Iga vaatluse jaoks registreerige seade, liides või konks, suund, kella võrdluspunkt ja see, kas see näitab sisemist liiklust või välist transporti. Tulemüüri logi hostis ja püüdmine ühendusliinil on erinevad tõendid, isegi kui neid lahutavad sekundid. Just silt võimaldab teisel inseneril vaadet korrata.

Hoidke kellaprobleem nähtav. Kellad triivivad ja ühes hostis võetud ajatempel ei pruugi olla teisega otseselt võrreldav. Kui hoste ei saa sünkroonida, piirake katse mõlema ajatemplitega ja kasutage absoluutväärtuse asemel järjestust. Märkige mõõdetud nihe, selle asemel et aegu vaikselt reguleerida.

Sovitage väljad, mida punkt tegelikult paljastab

Võrrelge aadresse ja protokolli välju punktides, mis neid tegelikult paljastavad. Arvestage tahtliku tõlkega, sest ümber kirjutatud tuple on ikka sama vestlus. Autoriseeritud IPv4 Echo testi jaoks annab RFC 792 määratlus identifikaatori ja järjestuse väljad, mis aitavad päringuid ja vastuseid sobitada. Hoidke ka aadressid ja aken, sest ainult järjestuse väärtus ei ole unikaalne identiteet.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Kui välimine lõik on krüpteeritud, hoidke partneri vestlust ja selle suunda eraldi kirjes. Sisemise Echo identifikaatori ei ole oodata väljaspool samas vormis püsima. Väliseid ja sisemisi loendeid ei tohi võrrelda, ilma et esitust nimetataks.

Teatage puuduvast intervallist, mitte kahtlusalusest

Puuduv vaatlus on piiratud tõend, mitte tõestus langusest just selles seadmes. Filtrid, püüdmise paigutus, kaotatud püüdmisandmed ja katse maha maganud aken tekitavad kõik puuduliku kirje. Öelge, mis puudub ja milliste piiride vahel. Puudumine vajab ka aegumist, seega märkige, kui kaua te vaatlesite ja mis oleks pidanud ilmuma.

Teise poole väide, et ta edastas liiklust, on kontekst, mitte kunagi vaatlus. Andke üle voog, ajatemplid, märgistatud piirid ja üks kitsas näide. Hoidke aruanne piisavalt lühike, et nõutud vaatlus silma paistaks. See muudab järgmise päringu täpseks mõõtmiseks, mitte süüdistuseks.

Pange nõutud mõõtmine ühte lausesse. Seejärel lõpetage kirjutamine.