Egy folyam, négy határ: az utolsó csomag megtalálása

Az egyik fél azt mondja, elküldte a forgalmat; a másik azt, hogy semmihez nem érkezett meg. Ez a két állítás ellentmondásnak hangzik, és általában csak két különböző mérés. Egy csomagszámláló, egy tűzfalnapló és egy rögzítés különböző rétegeket ír le, és ezek címkék nélküli összehasonlítása gyanúsítottat ad helyszín helyett. Építse a jelentést egy folyam és annak megfigyelési pontjai köré.

A kontextus nélküli számláló keveset bizonyít

A kimenő bájtokat jelentő átjáró nem bizonyítja, hogy a távoli vég megkapta a konkrét kérést. A számláló más folyamokat, más időpontokat vagy egy másik beágyazási réteget is tartalmazhat. Az a számláló, amely nő, miközben a cél semmit nem lát, még mindig helyes lehet, mert más kérdést mért. Mielőtt bármit összehasonlít, rögzítse a folyamot, az ablakot és a réteget.

Két különböző rétegből származó szám őszintén eltérhet. Az eltérés a vizsgálat kezdete, nem a következtetés.

Címkézzen meg minden megfigyelési pontot

Minden megfigyeléshez jegyezze fel az eszközt, az interfészt vagy hookot, az irányt, az órareferenciát és azt, hogy belső forgalmat vagy a külső szállítást mutatja-e. A gazdagépen lévő tűzfalnapló és a feltöltő linken lévő rögzítés különböző bizonyíték, akkor is, ha csak másodpercek választják el őket. A címke az, ami lehetővé teszi egy másik mérnök számára a kép reprodukálását.

Tartsa láthatóan az óraproblémát. Az órák sodródnak, és az egyik gazdagépen vett időbélyeg nem feltétlenül hasonlítható össze közvetlenül egy másikkal. Ha a gazdagépek nem szinkronizálhatók, kerítse körül a kísérletet mindkettő időbélyegével, és az abszolút érték helyett a sorrendet használja. Jegyezze fel a mért eltolást, ahelyett hogy csendben igazítaná az időket.

Párosítsa azokat a mezőket, amelyeket a pont valóban felfed

Hasonlítsa össze a címeket és a protokollmezőket olyan pontokon, amelyek valóban felfedik őket. Számoljon a szándékos fordítással, mert az átírt tuple továbbra is ugyanaz a beszélgetés. Engedélyezett IPv4 Echo-teszthez az RFC 792 definíciója azonosító és sorrend mezőket ad, amelyek segítenek a kérések és válaszok párosításában. Tartsa meg a címeket és az ablakot is, mivel a sorrendérték önmagában nem egyedi azonosság.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Ahol a külső szakasz titkosított, tartsa a partnerrel folytatott beszélgetést és annak irányát külön rekordban. Nem várható, hogy a belső Echo-azonosító kint ugyanabban a formában marad fenn. A külső és belső számlálás nem hasonlítható össze a reprezentáció megadása nélkül.

A hiányzó intervallumot jelentse, ne egy gyanúsítottat

A hiányzó megfigyelés korlátozott bizonyíték, nem annak bizonyítéka, hogy azon az eszközön esett el a csomag. A szűrők, a rögzítés elhelyezése, az elveszett rögzítési adatok és a kísérletet kihagyó ablak mind hiányos rekordot eredményeznek. Mondja meg, mi hiányzik, és mely határok között. A hiánynak lejáratra is szüksége van, ezért adja meg, meddig figyelt meg, és minek kellett volna megjelennie.

A másik fél állítása, hogy továbbította a forgalmat, kontextus, soha nem megfigyelés. Adja át a folyamot, az időbélyegeket, a címkézett határokat és egy szűk példát. Tartsa a jelentést elég rövidnek ahhoz, hogy a kért megfigyelés kiemelkedjen. Ez a következő kérést pontos méréssé teszi vád helyett.

Tegye a kért mérést egyetlen mondatba. Aztán hagyja abba az írást.