Бір ағын, төрт шекара: соңғы пакетті табу

Бір тарап трафикті жібергенін айтады; екіншісі оның еш жерге жетпегенін айтады. Бұл екі тұжырым қайшылық сияқты естіледі және әдетте екі түрлі өлшем ғана. Пакет саны, firewall журналы және түсірілім әртүрлі қабаттарды сипаттайды, ал оларды белгісіз салыстыру орынның орнына күдікті береді. Есепті бір ағын мен оның бақылау нүктелерінің айналасында құрыңыз.

Контекстсіз санауыш аз дәлелдейді

Шығыс байттарын хабарлайтын қақпа қашықтағы ұштың нақты сұрауды алғанының дәлелі емес. Санауыш басқа ағындарды, басқа уақыттарды немесе инкапсуляцияның басқа қабатын қамтуы мүмкін. Аяқталу нүктесі ештеңе көрмесе де өсіп жатқан санауыш дұрыс болуы мүмкін, өйткені ол басқа сұрақты өлшеді. Бірдеңені салыстырмас бұрын ағынды, терезені және қабатты анықтаңыз.

Әртүрлі қабаттардың екі саны адал түрде қайшы келуі мүмкін. Бұл қайшылық тергеудің басы, қорытынды емес.

Әрбір бақылау нүктесін белгілеңіз

Әр бақылау үшін құрылғыны, интерфейсті немесе ілгекті, бағытты, сағат сілтемесін және оның ішкі трафикті немесе сыртқы тасымалды көрсететінін жазыңыз. Хосттағы firewall журналы мен uplink-тегі түсірілім араларында секунд болса да, әртүрлі дәлелдер болып табылады. Белгі басқа инженерге көріністі қайта жасауға мүмкіндік беретін нәрсе.

Сағат мәселесін көрінетін күйде ұстаңыз. Сағаттар ауытқиды және бір хостта алынған уақыт белгісі екіншісімен тікелей салыстыруға келмейді. Хосттарды синхрондау мүмкін болмаса, әрекетті екеуінің де уақыт белгілерімен қоршаңыз және абсолютті мәннің орнына реттілікті пайдаланыңыз. Уақыттарды үнсіз түзетудің орнына өлшенген ауытқуды жазыңыз.

Нүкте шын мәнінде ашатын өрістерді сәйкестендіріңіз

Мекенжайлар мен протокол өрістерін оларды шын мәнінде ашатын нүктелерде салыстырыңыз. Әдейі аударманы ескеріңіз, өйткені қайта жазылған tuple әлі де сол әңгіме. Рұқсат етілген IPv4 Echo сынағы үшін RFC 792 анықтамасы сұраулар мен жауаптарды сәйкестендіруге көмектесетін идентификатор мен реттілік өрістерін береді. Мекенжайлар мен терезені де сақтаңыз, өйткені тек реттілік мәні бірегей сәйкестік емес.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Сыртқы аяқ шифрланған жерде серіктеспен әңгімені және оның бағытын бөлек жазбада ұстаңыз. Ішкі Echo идентификаторының сыртта сол пішінде қалуын күтуге болмайды. Сыртқы және ішкі санақтарды көріністі көрсетпей салыстыруға болмайды.

Жоғалған аралықты хабарлаңыз, күдіктіні емес

Жоқ бақылау шектеулі дәлел, сол құрылғыда тамшының дәлелі емес. Сүзгілер, түсірілімнің орналасуы, жоғалған түсірілім деректері және әрекетті өткізіп алған терезе — барлығы толық емес жазба жасайды. Не жоғалғанын және қандай шекаралар арасында екенін айтыңыз. Жоқтыққа да мерзім қажет, сондықтан қанша уақыт бақылағаныңызды және не пайда болуы керек екенін көрсетіңіз.

Екінші тараптың трафикті жіберді деген мәлімдемесі контекст, ешқашан бақылау емес. Ағынды, уақыт белгілерін, белгіленген шекараларды және бір тар мысалды беріңіз. Есепті сұралған бақылау ерекшеленетіндей қысқа ұстаңыз. Бұл келесі сұрауды айыптаудың орнына дәл өлшеуге айналдырады.

Сұралған өлшемді бір сөйлемге салыңыз. Содан кейін жазуды тоқтатыңыз.