Yksi virta, neljä rajaa: viimeisen paketin löytäminen

Toinen osapuoli sanoo lähettäneensä liikenteen; toinen sanoo, ettei se saapunut minnekään. Se väitepari kuulostaa ristiriidalta ja on yleensä vain kaksi eri mittausta. Pakettilaskuri, palomuuriloki ja kaappaus kuvaavat eri kerroksia, ja niiden vertailu ilman nimikkeitä tuottaa epäillyn sijaintipaikan sijaan. Rakenna raportti yhden virran ja sen havaintopisteiden ympärille.

Laskuri ilman kontekstia todistaa vähän

Lähteviä tavuja ilmoittava yhdyskäytävä ei ole todiste siitä, että kaukopää vastaanotti tietyn pyynnön. Laskuri voi sisältää muita virtoja, muita aikoja tai toisen kapselointikerroksen. Laskuri, joka kasvaa kohdekohteen nähdessä tyhjää, voi silti olla oikein, koska se mittasi toista kysymystä. Ennen kuin vertailet mitään, kiinnitä virta, ikkuna ja kerros.

Kahden eri kerroksen luvut voivat olla rehellisesti eri mieltä. Erimielisyys on tutkinnan alku, ei johtopäätös.

Nimeä jokainen havaintopiste

Kirjaa jokaisesta havainnosta laite, liitäntä tai koukku, suunta, kellon viite ja se, näyttääkö se sisäistä liikennettä vai ulkoista kuljetusta. Palomuuriloki isännässä ja kaappaus ylälinkissä ovat eri todisteita, vaikka niiden välillä olisi sekunteja. Nimike on se, mikä antaa toiselle insinöörille mahdollisuuden toistaa näkymä.

Pidä kello-ongelma näkyvänä. Kellot ajautuvat, eikä yhdessä isännässä otettu aikaleima välttämättä ole suoraan vertailukelpoinen toisen kanssa. Jos isäntiä ei voi synkronoida, rajaa yritys molempien aikaleimoilla ja käytä järjestystä absoluuttisen arvon sijaan. Kirjaa mitattu siirtymä sen sijaan, että säätäisit aikoja hiljaisesti.

Sovita kentät, jotka piste todella paljastaa

Vertaa osoitteita ja protokollakenttiä pisteissä, jotka todella paljastavat ne. Ota huomioon tahallinen käännös, koska uudelleenkirjoitettu monikko on edelleen sama keskustelu. Valtuutetussa IPv4 Echo -testissä RFC 792 -määritelmä tarjoaa tunniste- ja järjestyskentät, jotka auttavat täsmäyttämään pyynnöt ja vastaukset. Säilytä myös osoitteet ja ikkuna, sillä pelkkä järjestysarvo ei ole yksilöllinen identiteetti.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Kun ulompi osuus on salattu, pidä vastapuolen keskustelu ja sen suunta erillisessä tietueessa. Sisemmän Echo-tunnisteen ei pidä olettaa säilyvän ulkona samassa muodossa. Ulkoisia ja sisäisiä laskentoja ei saa verrata ilmoittamatta esitystapaa.

Raportoi puuttuva aikaväli, älä epäilty

Puuttuva havainto on rajallinen todiste, ei todiste pudotuksesta juuri siinä laitteessa. Suodattimet, kaappauksen sijoittelu, kadonneet kaappaustiedot ja yrityksen ohittanut ikkuna tuottavat kaikki puutteellisen tietueen. Sano, mitä puuttuu ja minkä rajojen väliltä. Poissaolo tarvitsee myös vanhenemisen, joten ilmoita, kuinka kauan tarkkailit ja mitä olisi pitänyt ilmestyä.

Toisen osapuolen väite liikenteen välittämisestä on konteksti, ei koskaan havainto. Luovuta virta, aikaleimat, nimetyt rajat ja yksi kapea esimerkki. Pidä raportti riittävän lyhyenä, jotta pyydetty havainto erottuu. Se tekee seuraavasta pyynnöstä tarkan mittauksen syytöksen sijaan.

Laita pyydetty mittaus yhteen lauseeseen. Lopeta sitten kirjoittaminen.