یک جریان، چهار مرز: یافتن آخرین بسته

یک طرف می‌گوید ترافیک را فرستاده است؛ طرف دیگر می‌گوید به جایی نرسیده است. این جفت جمله شبیه تناقض به نظر می‌رسد و معمولاً فقط دو اندازه‌گیری متفاوت است. شمارش بسته، گزارش دیوار آتش و ضبط، لایه‌های متفاوتی را توصیف می‌کنند، و مقایسه آن‌ها بدون برچسب، به جای مکان یک مظنون تولید می‌کند. گزارش را حول یک جریان و نقاط مشاهده آن بسازید.

شمارنده بدون زمینه چیز زیادی اثبات نمی‌کند

دروازه‌ای که بایت‌های خروجی را گزارش می‌کند، دلیل بر دریافت یک درخواست مشخص توسط طرف دور نیست. شمارنده ممکن است جریان‌های دیگر، زمان‌های دیگر یا لایه دیگری از کپسوله‌سازی را شامل شود. شمارنده‌ای که بالا می‌رود در حالی که مقصد چیزی نمی‌بیند، ممکن است هنوز درست باشد، چون پرسش دیگری را اندازه گرفته است. پیش از مقایسه هر چیزی، جریان، پنجره و لایه را تثبیت کنید.

دو عدد از لایه‌های مختلف می‌توانند صادقانه اختلاف داشته باشند. اختلاف، آغاز بررسی است، نه نتیجه.

هر نقطه مشاهده را برچسب بزنید

برای هر مشاهده، دستگاه، رابط یا قلاب، جهت، مرجع ساعت و اینکه ترافیک درونی یا انتقال بیرونی را نشان می‌دهد ثبت کنید. گزارش دیوار آتش روی میزبان و ضبط روی لینک بالادست، شواهد متفاوتی هستند حتی اگر چند ثانیه فاصله داشته باشند. این برچسب است که به مهندس دیگری اجازه می‌دهد تصویر را بازتولید کند.

مشکل ساعت را آشکار نگه دارید. ساعت‌ها منحرف می‌شوند و مهر زمانی گرفته‌شده روی یک میزبان ممکن است مستقیماً با دیگری قابل مقایسه نباشد. اگر میزبان‌ها همگام‌سازی نمی‌شوند، تلاش را با مهرهای زمانی از هر دو محصور کنید و از ترتیب به جای مقدار مطلق استفاده کنید. انحرافی را که اندازه گرفتید یادداشت کنید، نه اینکه بی‌صدا زمان‌ها را تنظیم کنید.

فیلدهایی را که نقطه واقعاً آشکار می‌کند مطابقت دهید

نشانی‌ها و فیلدهای پروتکل را در نقاطی که واقعاً آن‌ها را آشکار می‌کنند مقایسه کنید. ترجمه عمدی را در نظر بگیرید، چون تاپل بازنویسی‌شده هنوز همان گفت‌وگو است. برای آزمون Echo مجاز IPv4، تعریف RFC 792 فیلدهای شناسه و دنباله را می‌دهد که به تطبیق درخواست‌ها و پاسخ‌ها کمک می‌کند. نشانی‌ها و پنجره را هم نگه دارید، چون یک مقدار دنباله به‌تنهایی هویت یکتا نیست.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

جایی که پای بیرونی رمزگذاری شده است، گفت‌وگوی همتا و جهت آن را در رکورد جداگانه نگه دارید. نباید انتظار داشت شناسه Echo درونی بیرون در همان شکل باقی بماند. شمارش‌های بیرونی و درونی را نباید بدون ذکر نمایش مقایسه کرد.

فاصله گمشده را گزارش کنید، نه یک مظنون

مشاهده غایب، شواهد محدود است، نه اثبات افتادن در آن دستگاه. فیلترها، جای‌گذاری ضبط، داده‌های ضبط‌شده گمشده و پنجره‌ای که تلاش را از دست داده، همگی رکورد ناقص تولید می‌کنند. بگویید چه چیزی گم است و میان کدام مرزها. غیاب هم به انقضا نیاز دارد، پس بگویید چه مدت مشاهده کردید و چه چیزی باید ظاهر می‌شد.

ادعای طرف دیگر که ترافیک را ارسال کرده، زمینه است، هرگز مشاهده نیست. جریان، مهرهای زمانی، مرزهای برچسب‌خورده و یک نمونه باریک را تحویل دهید. گزارش را به اندازه کافی کوتاه نگه دارید تا مشاهده درخواستی برجسته شود. این کار درخواست بعدی را به جای اتهام، به اندازه‌گیری دقیق تبدیل می‌کند.

اندازه‌گیری درخواستی را در یک جمله بگذارید. سپس نوشتن را متوقف کنید.