एक प्रवाह, चार सीमाएँ: अंतिम पैकेट खोजना

एक पक्ष कहता है कि उसने ट्रैफिक भेजा; दूसरा कहता है कि वह कहीं नहीं पहुँचा। यह जोड़ी वक्तव्य विरोधाभास जैसी लगती है और आमतौर पर केवल दो अलग माप हैं। पैकेट गणना, फ़ायरवॉल लॉग और कैप्चर अलग-अलग परतों का वर्णन करते हैं, और उन्हें बिना लेबल के तुलना करने से स्थान के बजाय संदिग्ध मिलता है। रिपोर्ट को एक प्रवाह और उसके अवलोकन बिंदुओं के इर्द-गिर्द बनाएँ।

संदर्भ के बिना काउंटर बहुत कम साबित करता है

बाहर जाने वाले बाइट की रिपोर्ट करने वाला गेटवे इस बात का सबूत नहीं है कि दूर वाला छोर किसी विशिष्ट अनुरोध को प्राप्त हुआ। काउंटर में अन्य प्रवाह, अन्य समय या एनकैप्सुलेशन की दूसरी परत शामिल हो सकती है। ऐसा काउंटर जो बढ़ता है जबकि गंतव्य को कुछ नहीं दिखता, फिर भी सही हो सकता है, क्योंकि उसने दूसरा प्रश्न मापा। कुछ भी तुलना करने से पहले प्रवाह, विंडो और परत तय करें।

अलग-अलग परतों की दो संख्याएँ ईमानदारी से असहमत हो सकती हैं। असहमति जाँच की शुरुआत है, निष्कर्ष नहीं।

हर अवलोकन बिंदु को लेबल करें

हर अवलोकन के लिए डिवाइस, इंटरफ़ेस या हुक, दिशा, घड़ी संदर्भ और यह दर्ज करें कि यह भीतरी ट्रैफिक दिखाता है या बाहरी परिवहन। होस्ट पर फ़ायरवॉल लॉग और अपलिंक पर कैप्चर अलग सबूत हैं, भले ही उनमें कुछ सेकंड का अंतर हो। लेबल ही दूसरे इंजीनियर को दृश्य पुनः उत्पन्न करने देता है।

घड़ी की समस्या दिखाई देती रखें। घड़ियाँ खिसकती हैं, और एक होस्ट पर लिया गया टाइमस्टैम्प दूसरे के साथ सीधे तुलनीय नहीं हो सकता। यदि होस्ट सिंक्रोनाइज़ नहीं किए जा सकते, तो प्रयास को दोनों के टाइमस्टैम्प से घेरें और निरपेक्ष मान के बजाय क्रम का उपयोग करें। समय को चुपचाप समायोजित करने के बजाय मापे गए ऑफ़सेट को नोट करें।

जो फ़ील्ड बिंदु वास्तव में उजागर करता है उन्हें मिलाएँ

पते और प्रोटोकॉल फ़ील्ड उन बिंदुओं पर तुलना करें जो उन्हें वास्तव में उजागर करते हैं। जानबूझकर किए गए अनुवाद को ध्यान में रखें, क्योंकि फिर से लिखा गया टपल अभी भी वही बातचीत है। अधिकृत IPv4 Echo परीक्षण के लिए RFC 792 परिभाषा पहचानकर्ता और अनुक्रम फ़ील्ड देती है जो अनुरोधों और प्रतिक्रियाओं को मिलाने में मदद करते हैं। पते और विंडो भी रखें, क्योंकि अकेला अनुक्रम मान विशिष्ट पहचान नहीं है।

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

जहाँ बाहरी पैर एन्क्रिप्टेड है, साथी के साथ बातचीत और उसकी दिशा को अलग रिकॉर्ड में रखें। भीतरी Echo पहचानकर्ता के बाहर उसी आकार में बचे रहने की अपेक्षा नहीं करनी चाहिए। बाहरी और भीतरी गणनाओं की तुलना प्रतिनिधित्व बताए बिना नहीं करनी चाहिए।

छूटे अंतराल की रिपोर्ट करें, संदिग्ध की नहीं

अनुपस्थित अवलोकन सीमित सबूत है, उस डिवाइस पर गिरावट का प्रमाण नहीं। फ़िल्टर, कैप्चर का स्थान, खोया हुआ कैप्चर डेटा और प्रयास को चूक गई विंडो सभी अधूरा रिकॉर्ड बनाते हैं। कहें कि क्या छूटा है और किन सीमाओं के बीच। अनुपस्थिति को समाप्ति भी चाहिए, इसलिए बताएँ कि आपने कितने समय तक अवलोकन किया और क्या दिखना चाहिए था।

दूसरे पक्ष का दावा कि उसने ट्रैफिक आगे भेजा, संदर्भ है, कभी अवलोकन नहीं। प्रवाह, टाइमस्टैम्प, लेबल वाली सीमाएँ और एक संकीर्ण उदाहरण सौंपें। रिपोर्ट को इतना छोटा रखें कि अनुरोधित अवलोकन उभरकर दिखे। यह अगले अनुरोध को आरोप के बजाय सटीक माप में बदल देता है।

अनुरोधित माप को एक वाक्य में रखें। फिर लिखना बंद करें।