זרימה אחת, ארבעה גבולות: מציאת החבילה האחרונה

צד אחד אומר שהוא שלח את התעבורה; הצד האחר אומר שהיא לא הגיעה לשום מקום. צמד ההצהרות הזה נשמע כמו סתירה ובדרך כלל הוא רק שתי מדידות שונות. ספירת חבילות, יומן חומת אש ולכידה מתארים שכבות שונות, והשוואתם בלי תוויות מייצרת חשוד במקום מיקום. בנו את הדוח סביב זרימה אחת ונקודות התצפית שלה.

מונה בלי הקשר מוכיח מעט

שער שמדווח על בייטים יוצאים אינו הוכחה שהצד המרוחק קיבל בקשה מסוימת. המונה עשוי לכלול זרימות אחרות, זמנים אחרים או שכבת עטיפה אחרת. מונה שעולה בזמן שהיעד לא רואה דבר עשוי עדיין להיות נכון, משום שמדד שאלה אחרת. לפני שמשווים משהו, קבעו את הזרימה, החלון והשכבה.

שני מספרים משכבות שונות יכולים לחלוק בכנות. המחלוקת היא תחילת החקירה, לא המסקנה.

תייגו כל נקודת תצפית

עבור כל תצפית, רשמו את ההתקן, הממשק או ה-hook, את הכיוון, את התייחסות השעון והאם היא מציגה תעבורה פנימית או את התעבורה החיצונית. יומן חומת אש במארח ולכידה בקישור העולה הם ראיות שונות גם כשהן במרחק שניות. התווית היא מה שמאפשר למהנדס אחר לשחזר את התמונה.

השאירו את בעיית השעון גלויה. שעונים סוטים, וחתימת זמן שנלקחה במארח אחד עשויה שלא להיות ברת השוואה ישירה לזו של אחר. אם לא ניתן לסנכרן את המארחים, הקיפו את הניסיון בחתימות זמן משניהם והשתמשו בסדר במקום בערך המוחלט. רשמו את ההיסט שמדדתם במקום להתאים את הזמנים בשקט.

התאימו את השדות שהנקודה חושפת בפועל

השוו כתובות ושדות פרוטוקול בנקודות שחושפות אותם בפועל. הביאו בחשבון תרגום מכוון, מפני שטופל שנכתב מחדש הוא עדיין אותה שיחה. לבדיקת Echo מורשית ב-IPv4, הגדרת RFC 792 מספקת שדות מזהה ורצף שעוזרים להתאים בקשות ותשובות. שמרו גם את הכתובות ואת החלון, שכן ערך רצף לבדו אינו זהות ייחודית.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

כאשר הרגל החיצונית מוצפנת, שמרו את השיחה עם העמית ואת כיוונה ברשומה נפרדת. אין לצפות שמזהה ה-Echo הפנימי ישרוד בחוץ באותה צורה. אין להשוות מונים חיצוניים ופנימיים בלי לציין את הייצוג.

דווחו על המרווח החסר, לא על חשוד

תצפית חסרה היא ראיה מוגבלת, לא הוכחה לנפילה בהתקן ההוא. מסננים, מיקום הלכידה, נתוני לכידה שאבדו וחלון שהחמיץ את הניסיון יוצרים כולם רשומה חלקית. אמרו מה חסר ובין אילו גבולות. היעדר זקוק גם לתפוגה, לכן ציינו כמה זמן צפיתם ומה היה צריך להופיע.

הטענה של הצד האחר שהעביר תעבורה היא הקשר, ולעולם לא תצפית. מסרו את הזרימה, חתימות הזמן, הגבולות המתויגים ודוגמה צרה אחת. שמרו על הדוח קצר מספיק כדי שהתצפית המבוקשת תבלוט. זה הופך את הבקשה הבאה למדידה מדויקת במקום האשמה.

שימו את המדידה המבוקשת במשפט אחד. ואז הפסיקו לכתוב.