Un fluxo, catro fronteiras: atopar o último paquete

Un lado di que enviou o tráfico; o outro di que non chegou a ningures. Ese par de afirmacións soa a contradición e normalmente só son dúas medicións distintas. Un reconto de paquetes, un rexistro do cortafocos e unha captura describen capas diferentes, e comparalos sen etiquetas produce un sospeitoso en lugar dunha localización. Construíde o informe arredor dun fluxo e dos seus puntos de observación.

Un contador sen contexto demostra pouco

Unha pasarela que informa bytes de saída non é proba de que o extremo remoto recibise unha solicitude concreta. O contador pode incluír outros fluxos, outros momentos ou outra capa de encapsulación. Un contador que sobe mentres o destino non ve nada pode seguir sendo correcto, porque mediu outra pregunta. Antes de comparar nada, fixade o fluxo, a ventá e a capa.

Dous números de capas distintas poden discrepar con honestidade. A discrepancia é o comezo da investigación, non a conclusión.

Etiquetade cada punto de observación

Para cada observación, rexistrade o dispositivo, a interface ou o gancho, a dirección, a referencia de reloxo e se mostra tráfico interno ou o transporte externo. Un rexistro do cortafocos no host e unha captura no enlace ascendente son probas distintas aínda que os separen segundos. A etiqueta é o que permite a outro enxeñeiro reproducir a vista.

Mantede visible o problema do reloxo. Os reloxos derivan, e unha marca de tempo tomada nun host pode non ser directamente comparable con outra. Se os hosts non se poden sincronizar, delimitade o intento con marcas de tempo de ambos e usade a orde en lugar do valor absoluto. Anotade o desfase que medistes en lugar de axustar os tempos en silencio.

Facede coincidir os campos que o punto expón realmente

Comparade enderezos e campos de protocolo en puntos que realmente os expoñen. Tede en conta a tradución deliberada, porque unha tupla reescrita segue sendo a mesma conversa. Para unha proba Echo IPv4 autorizada, a definición de RFC 792 ofrece campos de identificador e secuencia que axudan a emparellar solicitudes e respostas. Conservade tamén os enderezos e a ventá, xa que un valor de secuencia por si só non é unha identidade única.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Onde a pata externa está cifrada, mantede a conversa co par e a súa dirección nun rexistro aparte. Non cabe esperar que o identificador Echo interno sobreviva fóra coa mesma forma. Os recontos externos e internos non deben compararse sen declarar a representación.

Informade do intervalo que falta, non dun sospeitoso

Unha observación que falta é proba limitada, non a proba dunha caída nese dispositivo. Os filtros, a colocación da captura, os datos de captura perdidos e unha ventá que non cubriu o intento producen todos un rexistro incompleto. Dicíde o que falta e entre que fronteiras. Unha ausencia tamén necesita caducidade, así que indicade canto tempo observastes e que debería ter aparecido.

A afirmación da outra parte de que reenviou tráfico é contexto, nunca unha observación. Entregade o fluxo, as marcas de tempo, as fronteiras etiquetadas e un exemplo estreito. Mantede o informe o bastante curto para que destaque a observación solicitada. Iso converte a seguinte solicitude nunha medición precisa en lugar dunha acusación.

Poñede a medición solicitada nunha frase. Despois deixade de escribir.