Jedan tok, četiri granice: pronalaženje posljednjeg paketa

Jedna strana kaže da je poslala saobraćaj; druga kaže da nije stigao nikuda. Taj par tvrdnji zvuči kao kontradikcija i obično je samo dva različita mjerenja. Brojač paketa, zapis firewall-a i snimanje opisuju različite slojeve, a njihovo poređenje bez oznaka daje osumnjičenog umjesto lokacije. Izgradite izvještaj oko jednog toka i njegovih tačaka posmatranja.

Brojač bez konteksta malo dokazuje

Gateway koji prijavljuje izlazne bajtove nije dokaz da je udaljena strana primila konkretan zahtjev. Brojač može uključivati druge tokove, druga vremena ili drugi sloj enkapsulacije. Brojač koji raste dok odredište ne vidi ništa ipak može biti tačan, jer je mjerio drugo pitanje. Prije nego što bilo šta uporedite, fiksirajte tok, prozor i sloj.

Dva broja iz različitih slojeva mogu se iskreno razlikovati. Ta razlika je početak istrage, a ne zaključak.

Označite svaku tačku posmatranja

Za svako posmatranje zabilježite uređaj, interfejs ili kuku, smjer, referencu sata i da li prikazuje unutrašnji saobraćaj ili vanjski transport. Zapis firewall-a na hostu i snimanje na uplinku različiti su dokazi čak i kada ih dijele sekunde. Oznaka je ono što drugom inženjeru omogućava da reprodukuje sliku.

Držite problem sata vidljivim. Satovi driftuju, a vremenska oznaka uzeta na jednom hostu možda nije direktno uporediva s onom na drugom. Ako se hostovi ne mogu sinhronizovati, ogradite pokušaj vremenskim oznakama s oba i koristite redoslijed, a ne apsolutnu vrijednost. Zabilježite izmjereni pomak umjesto da tiho prilagođavate vremena.

Uporedite polja koja tačka zaista izlaže

Upoređujte adrese i protokolna polja na tačkama koje ih zaista izlažu. Uzmite u obzir namjerno prevođenje, jer prepisani tuple je i dalje isti razgovor. Za odobreni IPv4 Echo test definicija RFC 792 daje polja identifikatora i sekvence koja pomažu da se zahtjevi i odgovori spoje. Zadržite i adrese i prozor, jer samo vrijednost sekvence nije jedinstveni identitet.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Gdje je vanjska dionica šifrirana, držite razgovor s peerom i njegov smjer u odvojenom zapisu. Ne treba očekivati da će unutrašnji Echo identifikator preživjeti napolju u istom obliku. Vanjski i unutrašnji brojevi ne smiju se porediti bez navođenja reprezentacije.

Prijavite interval koji nedostaje, ne osumnjičenog

Posmatranje koje nedostaje je ograničen dokaz, a ne dokaz pada na tom uređaju. Filteri, postavljanje snimanja, izgubljeni podaci snimanja i prozor koji je propustio pokušaj svi proizvode nepotpun zapis. Recite šta nedostaje i između kojih granica. Odsustvo takođe traži rok, pa navedite koliko ste dugo posmatrali i šta je trebalo da se pojavi.

Tvrdnja druge strane da je proslijedila saobraćaj je kontekst, nikada posmatranje. Predajte tok, vremenske oznake, označene granice i jedan uzak primjer. Držite izvještaj dovoljno kratkim da traženo posmatranje iskoči. To sljedeći zahtjev pretvara u precizno mjerenje umjesto optužbe.

Stavite traženo mjerenje u jednu rečenicu. Zatim prestanite da pišete.