하나의 흐름, 네 개의 경계: 마지막 패킷 찾기

한쪽은 트래픽을 보냈다고 말하고, 다른 쪽은 어디에도 도착하지 않았다고 말합니다. 이 두 주장은 모순처럼 들리지만 보통은 서로 다른 두 측정일 뿐입니다. 패킷 수, 방화벽 로그, 캡처는 서로 다른 계층을 설명합니다. 이를 라벨 없이 비교하면 위치가 아니라 용의자가 나옵니다. 하나의 흐름과 그 관찰 지점을 중심으로 보고서를 구성하십시오.

맥락 없는 카운터는 거의 증명하지 못한다

송신 바이트를 보고하는 게이트웨이는 원격지가 특정 요청을 받았다는 증거가 아닙니다. 카운터에는 다른 흐름, 다른 시각 또는 다른 캡슐화 계층이 포함될 수 있습니다. 목적지가 아무것도 보지 못하는 동안 증가하는 카운터도 다른 질문을 측정했기 때문에 여전히 정확할 수 있습니다. 무엇이든 비교하기 전에 흐름, 창, 계층을 고정하십시오.

서로 다른 계층의 두 숫자는 정직하게 불일치할 수 있습니다. 그 불일치는 조사의 시작이지 결론이 아닙니다.

모든 관찰 지점에 라벨을 붙인다

각 관찰마다 장치, 인터페이스 또는 후크, 방향, 클록 기준, 그리고 내부 트래픽인지 외부 전송인지를 기록하십시오. 호스트의 방화벽 로그와 업링크의 캡처는 몇 초 차이여도 서로 다른 증거입니다. 라벨이 있어야 다른 엔지니어가 그 모습을 재현할 수 있습니다.

클록 문제를 보이게 유지하십시오. 클록은 어긋나며, 한 호스트에서 얻은 타임스탬프가 다른 호스트의 것과 직접 비교되지 않을 수 있습니다. 호스트를 동기화할 수 없다면 양쪽의 타임스탬프로 시도를 감싸고 절대값 대신 순서를 사용하십시오. 시간을 조용히 조정하는 대신 측정한 오프셋을 기록하십시오.

그 지점이 실제로 노출하는 필드를 맞춘다

주소와 프로토콜 필드를 실제로 노출하는 지점에서 비교하십시오. 의도적인 변환을 고려해야 합니다. 다시 쓰인 튜플도 같은 대화이기 때문입니다. 승인된 IPv4 Echo 테스트의 경우 RFC 792 정의가 요청과 응답을 맞추는 데 도움이 되는 식별자와 시퀀스 필드를 제공합니다. 주소와 창도 유지하십시오. 시퀀스 값만으로는 고유한 식별이 아닙니다.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

외부 구간이 암호화되어 있으면 상대와의 대화와 그 방향을 별도 기록에 남기십시오. 내부 Echo 식별자가 외부에서 같은 형태로 유지되리라고 기대해서는 안 됩니다. 외부와 내부 카운트는 표현을 명시하지 않고 비교해서는 안 됩니다.

용의자가 아니라 빠진 구간을 보고한다

빠진 관찰은 제한된 증거이며, 그 장치에서의 드롭을 증명하지 않습니다. 필터, 캡처 배치, 손실된 캡처 데이터, 시도를 놓친 창은 모두 불완전한 기록을 만듭니다. 무엇이 빠졌고 어느 경계 사이인지 말하십시오. 부재에는 만료도 필요하므로 얼마나 오래 관찰했고 무엇이 나타났어야 하는지 밝히십시오.

상대방이 트래픽을 전달했다는 주장은 맥락일 뿐 관찰이 아닙니다. 흐름, 타임스탬프, 라벨이 붙은 경계, 하나의 좁은 예를 넘기십시오. 요청된 관찰이 드러나도록 보고서를 충분히 짧게 유지하십시오. 그러면 다음 요청은 비난이 아니라 정밀한 측정이 됩니다.

요청된 측정을 한 문장에 담으십시오. 그런 다음 쓰기를 멈추십시오.