Viena plūsma, četras robežas: pēdējās paketes atrašana

Viena puse saka, ka ir nosūtījusi trafiku; otra saka, ka tas nekur nav nonācis. Šis apgalvojumu pāris izklausās pēc pretrunas un parasti ir tikai divi dažādi mērījumi. Pakešu skaits, ugunsmūra žurnāls un ieraksts apraksta dažādus slāņus, un to salīdzināšana bez etiķetēm dod aizdomās turamo, nevis vietu. Veidojiet atskaiti ap vienu plūsmu un tās novērojumu punktiem.

Skaitītājs bez konteksta pierāda maz

Vārteja, kas ziņo par izejošajiem baitiem, nav pierādījums, ka tālā puse saņēma konkrētu pieprasījumu. Skaitītājs var ietvert citas plūsmas, citus laikus vai citu iekapsulēšanas slāni. Skaitītājs, kas pieaug, kamēr galamērķis neko neredz, joprojām var būt pareizs, jo tas mērīja citu jautājumu. Pirms kaut ko salīdzināt, fiksējiet plūsmu, logu un slāni.

Divi skaitļi no dažādiem slāņiem var godīgi atšķirties. Šī atšķirība ir izmeklēšanas sākums, nevis secinājums.

Marķējiet katru novērojumu punktu

Katram novērojumam pierakstiet ierīci, saskarni vai āķi, virzienu, pulksteņa atsauci un to, vai tas rāda iekšējo trafiku vai ārējo transportu. Ugunsmūra žurnāls uz saimnieka un ieraksts augšupielādes līnijā ir dažādi pierādījumi, pat ja starp tiem ir sekundes. Marķējums ir tas, kas ļauj citam inženierim atveidot skatu.

Turiet pulksteņa problēmu redzamu. Pulksteņi dreifē, un vienā saimniekā iegūts laikspiedols var nebūt tieši salīdzināms ar citu. Ja saimniekus nevar sinhronizēt, ierāmējiet mēģinājumu ar abu laikspiedoliem un izmantojiet secību, nevis absolūto vērtību. Pierakstiet izmērīto nobīdi, tā vietā lai klusi pielāgotu laikus.

Saskaņojiet laukus, ko punkts patiešām atklāj

Salīdziniet adreses un protokola laukus punktos, kas tos patiešām atklāj. Ņemiet vērā apzinātu tulkojumu, jo pārrakstīts tuple joprojām ir tā pati saruna. Autorizētam IPv4 Echo testam RFC 792 definīcija sniedz identifikatora un secības laukus, kas palīdz saskaņot pieprasījumus un atbildes. Saglabājiet arī adreses un logu, jo viena secības vērtība nav unikāla identitāte.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Kur ārējā kāja ir šifrēta, turiet sarunu ar partneri un tās virzienu atsevišķā ierakstā. Nav jāgaida, ka iekšējais Echo identifikators ārpusē saglabāsies tādā pašā formā. Ārējos un iekšējos skaitļus nedrīkst salīdzināt, nenorādot attēlojumu.

Ziņojiet par trūkstošo intervālu, nevis aizdomās turamo

Trūkstošs novērojums ir ierobežots pierādījums, nevis pierādījums tam, ka pakete pazuda tieši šajā ierīcē. Filtri, ieraksta izvietojums, pazaudētie ieraksta dati un logs, kas palaida garām mēģinājumu, visi rada nepilnīgu ierakstu. Sakiet, kas trūkst un starp kādām robežām. Trūkumam vajadzīgs arī termiņš, tāpēc norādiet, cik ilgi novērojāt un kam vajadzēja parādīties.

Otras puses apgalvojums, ka tā pārsūtīja trafiku, ir konteksts, nekad novērojums. Nododiet plūsmu, laikspiedolus, marķētās robežas un vienu šauru piemēru. Turiet atskaiti pietiekami īsu, lai pieprasītais novērojums izceltos. Tas pārvērš nākamo pieprasījumu precīzā mērījumā, nevis apsūdzībā.

Ievietojiet pieprasīto mērījumu vienā teikumā. Pēc tam pārtrauciet rakstīt.