Un flux, quatre frontières : trouver le dernier paquet

Un côté dit avoir envoyé le trafic ; l’autre dit qu’il n’est arrivé nulle part. Cette paire d’affirmations ressemble à une contradiction et n’est généralement que deux mesures différentes. Un comptage de paquets, un journal de pare-feu et une capture décrivent des couches différentes, et les comparer sans étiquettes produit un suspect plutôt qu’un emplacement. Construisez le rapport autour d’un flux et de ses points d’observation.

Un compteur sans contexte prouve peu

Une passerelle qui signale des octets sortants ne prouve pas que l’extrémité distante a reçu une requête précise. Le compteur peut inclure d’autres flux, d’autres moments ou une autre couche d’encapsulation. Un compteur qui monte alors que la destination ne voit rien peut rester correct, car il mesurait une autre question. Avant de comparer quoi que ce soit, fixez le flux, la fenêtre et la couche.

Deux nombres de couches différentes peuvent honnêtement diverger. La divergence est le début de l’enquête, pas la conclusion.

Étiquetez chaque point d’observation

Pour chaque observation, notez l’appareil, l’interface ou le point d’accroche, la direction, la référence d’horloge et si elle montre le trafic interne ou le transport externe. Un journal de pare-feu sur l’hôte et une capture sur la liaison montante sont des preuves différentes, même séparées de quelques secondes. L’étiquette est ce qui permet à un autre ingénieur de reproduire la vue.

Gardez le problème d’horloge visible. Les horloges dérivent, et un horodatage pris sur un hôte peut ne pas être directement comparable à un autre. Si les hôtes ne peuvent pas être synchronisés, encadrez la tentative avec des horodatages des deux et utilisez l’ordre plutôt que la valeur absolue. Notez le décalage mesuré au lieu d’ajuster silencieusement les heures.

Faites correspondre les champs que le point expose réellement

Comparez les adresses et les champs de protocole aux points qui les exposent réellement. Tenez compte de la traduction délibérée, car un tuple réécrit reste la même conversation. Pour un test Echo IPv4 autorisé, la définition RFC 792 fournit des champs d’identifiant et de séquence qui aident à apparier requêtes et réponses. Conservez aussi les adresses et la fenêtre, car une valeur de séquence seule n’est pas une identité unique.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Là où le segment externe est chiffré, conservez la conversation avec le pair et sa direction dans un enregistrement distinct. Il ne faut pas s’attendre à ce que l’identifiant Echo interne survive à l’extérieur sous la même forme. Les comptages externe et interne ne doivent pas être comparés sans préciser la représentation.

Signalez l’intervalle manquant, pas un suspect

Une observation manquante est une preuve limitée, pas la preuve d’une perte sur cet appareil. Les filtres, le placement de la capture, les données de capture perdues et une fenêtre qui a manqué la tentative produisent tous un enregistrement incomplet. Dites ce qui manque et entre quelles frontières. Une absence a aussi besoin d’une expiration : indiquez donc combien de temps vous avez observé et ce qui aurait dû apparaître.

L’affirmation de l’autre côté selon laquelle il a transféré le trafic est un contexte, jamais une observation. Transmettez le flux, les horodatages, les frontières étiquetées et un exemple étroit. Gardez le rapport assez court pour que l’observation demandée ressorte. Cela transforme la requête suivante en mesure précise plutôt qu’en accusation.

Placez la mesure demandée dans une phrase. Puis arrêtez d’écrire.