Satu aliran, empat batas: menemukan paket terakhir

Satu pihak mengatakan telah mengirim lalu lintas; pihak lain mengatakan tidak sampai ke mana pun. Kedua pernyataan itu terdengar seperti pertentangan dan biasanya hanya dua pengukuran berbeda. Hitungan paket, log firewall, dan tangkapan menggambarkan lapisan yang berbeda, dan membandingkannya tanpa label menghasilkan tersangka, bukan lokasi. Bangun laporan di sekitar satu aliran dan titik pengamatannya.

Penghitung tanpa konteks membuktikan sedikit

Gerbang yang melaporkan byte keluar bukan bukti bahwa ujung jauh menerima permintaan tertentu. Penghitung itu dapat mencakup aliran lain, waktu lain, atau lapisan enkapsulasi lain. Penghitung yang naik sementara tujuan tidak melihat apa pun bisa tetap benar, karena mengukur pertanyaan yang berbeda. Sebelum membandingkan apa pun, tetapkan aliran, jendela, dan lapisannya.

Dua angka dari lapisan berbeda dapat berselisih secara jujur. Perselisihan itu adalah awal penyelidikan, bukan kesimpulan.

Beri label setiap titik pengamatan

Untuk setiap pengamatan, catat perangkat, antarmuka atau kait, arah, referensi jam, dan apakah yang ditampilkan lalu lintas dalam atau transportasi luar. Log firewall pada host dan tangkapan pada uplink adalah bukti yang berbeda meskipun hanya berselisih beberapa detik. Label inilah yang memungkinkan insinyur lain mereproduksi tampilan.

Jaga masalah jam tetap terlihat. Jam bergeser, dan stempel waktu yang diambil pada satu host mungkin tidak langsung sebanding dengan host lain. Jika host tidak dapat disinkronkan, batasi upaya dengan stempel waktu dari keduanya dan gunakan urutan alih-alih nilai absolut. Catat offset yang Anda ukur alih-alih menyesuaikan waktu secara diam-diam.

Cocokkan bidang yang benar-benar diungkapkan titik itu

Bandingkan alamat dan bidang protokol pada titik yang benar-benar mengungkapkannya. Pertimbangkan terjemahan yang disengaja, karena tuple yang ditulis ulang tetap percakapan yang sama. Untuk uji Echo IPv4 yang diizinkan, definisi RFC 792 memberikan bidang pengenal dan urutan yang membantu mencocokkan permintaan dan balasan. Simpan juga alamat dan jendelanya, karena nilai urutan saja bukan identitas unik.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Jika kaki luar terenkripsi, simpan percakapan dengan peer dan arahnya dalam catatan terpisah. Pengenal Echo dalam tidak boleh diharapkan bertahan di luar dalam bentuk yang sama. Hitungan luar dan dalam tidak boleh dibandingkan tanpa menyatakan representasinya.

Laporkan interval yang hilang, bukan tersangka

Pengamatan yang hilang adalah bukti terbatas, bukan bukti jatuhnya paket di perangkat itu. Filter, penempatan tangkapan, data tangkapan yang hilang, dan jendela yang melewatkan upaya semuanya menghasilkan catatan tidak lengkap. Sebutkan apa yang hilang dan di antara batas mana. Ketiadaan juga memerlukan kedaluwarsa, jadi nyatakan berapa lama Anda mengamati dan apa yang seharusnya muncul.

Klaim pihak lain bahwa ia meneruskan lalu lintas adalah konteks, tidak pernah pengamatan. Serahkan aliran, stempel waktu, batas berlabel, dan satu contoh sempit. Jaga laporan cukup singkat agar pengamatan yang diminta menonjol. Itu mengubah permintaan berikutnya menjadi pengukuran yang tepat alih-alih tuduhan.

Letakkan pengukuran yang diminta dalam satu kalimat. Lalu berhenti menulis.