Vienas srautas, keturios ribos: paskutinio paketo paieška

Viena pusė sako išsiuntusi srautą; kita sako, kad jis niekur neatvyko. Ši teiginių pora skamba kaip prieštaravimas ir dažniausiai yra tik du skirtingi matavimai. Paketų skaičius, užkardos žurnalas ir įrašymas apibūdina skirtingus sluoksnius, o jų palyginimas be etikečių duoda įtariamąjį, o ne vietą. Kurkite ataskaitą apie vieną srautą ir jo stebėjimo taškus.

Skaitiklis be konteksto mažai ką įrodo

Šliuzas, pranešantis apie išeinančius baitus, neįrodo, kad tolimasis galas gavo konkretų užklausą. Skaitiklis gali apimti kitus srautus, kitus laikus ar kitą inkapsuliavimo sluoksnį. Skaitiklis, kuris kyla, nors paskirties vieta nieko nemato, vis tiek gali būti teisingas, nes matavo kitą klausimą. Prieš ką nors lygindami, užfiksuokite srautą, langą ir sluoksnį.

Du skaičiai iš skirtingų sluoksnių gali sąžiningai nesutarti. Nesutarimas yra tyrimo pradžia, o ne išvada.

Pažymėkite kiekvieną stebėjimo tašką

Kiekvienam stebėjimui užrašykite įrenginį, sąsają ar kabliuką, kryptį, laikrodžio atskaitą ir ar jis rodo vidinį srautą, ar išorinį transportavimą. Užkardos žurnalas pagrindiniame kompiuteryje ir įrašymas jungiamojoje linijoje yra skirtingi įrodymai, net jei juos skiria sekundės. Etiketė leidžia kitam inžinieriui atkurti vaizdą.

Laikykite laikrodžio problemą matomą. Laikrodžiai dreifuoja, o viename pagrindiniame kompiuteryje paimta laiko žyma gali būti tiesiogiai nepalyginama su kita. Jei pagrindinių kompiuterių sinchronizuoti nepavyksta, apibrėžkite bandymą abiejų laiko žymomis ir naudokite tvarką, o ne absoliučią vertę. Užrašykite išmatuotą poslinkį, o ne tyliai koreguokite laikus.

Suderinkite laukus, kuriuos taškas tikrai atskleidžia

Palyginkite adresus ir protokolo laukus taškuose, kurie juos tikrai atskleidžia. Atsižvelkite į tyčinį vertimą, nes perrašytas tuple vis dar yra tas pats pokalbis. Autorizuotam IPv4 Echo testui RFC 792 apibrėžtis pateikia identifikatoriaus ir sekos laukus, padedančius suderinti užklausas ir atsakymus. Išsaugokite ir adresus, ir langą, nes vien sekos reikšmė nėra unikali tapatybė.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Kai išorinė atkarpa užšifruota, laikykite pokalbį su partneriu ir jo kryptį atskirame įraše. Nereikėtų tikėtis, kad vidinis Echo identifikatorius išorėje išliks tokios pat formos. Išoriniai ir vidiniai skaičiai neturi būti lyginami nenurodžius vaizdavimo.

Praneškite apie trūkstamą intervalą, o ne įtariamąjį

Trūkstamas stebėjimas yra ribotas įrodymas, o ne įrodymas, kad paketas dingo tame įrenginyje. Filtrai, įrašymo vieta, prarasti įrašymo duomenys ir bandymą praleidęs langas – visi sukuria nepilną įrašą. Pasakykite, ko trūksta ir tarp kokių ribų. Nebuvimui taip pat reikia galiojimo pabaigos, todėl nurodykite, kiek laiko stebėjote ir kas turėjo pasirodyti.

Kitos pusės teiginys, kad ji persiuntė srautą, yra kontekstas, niekada ne stebėjimas. Perduokite srautą, laiko žymas, pažymėtas ribas ir vieną siaurą pavyzdį. Laikykite ataskaitą pakankamai trumpą, kad prašomas stebėjimas išsiskirtų. Tai paverčia kitą užklausą tiksliu matavimu, o ne kaltinimu.

Įdėkite prašomą matavimą į vieną sakinį. Tada nustokite rašyti.