Еден тек, четири граници: наоѓање на последниот пакет

Едната страна вели дека го испратила сообраќајот; другата вели дека не пристигнал никаде. Овој пар тврдења звучи како противречност и обично е само две различни мерења. Броењето пакети, дневникот на огнениот ѕид и снимањето опишуваат различни слоеви, а нивното споредување без ознаки дава осомничен, а не локација. Изградете го извештајот околу еден тек и неговите точки на набљудување.

Бројач без контекст докажува малку

Портален што пријавува излезни бајти не е доказ дека далечниот крај примил конкретно барање. Бројачот може да вклучува други текови, други времиња или друг слој на инкапсулација. Бројач што расте додека одредиштето не гледа ништо може сепак да биде точен, бидејќи измерил друго прашање. Пред да споредите нешто, фиксирајте го текот, прозорецот и слојот.

Два броја од различни слоеви можат чесно да се разликуваат. Разликата е почеток на истрагата, не заклучок.

Означете ја секоја точка на набљудување

За секое набљудување запишете го уредот, интерфејсот или куката, насоката, часовната референца и дали покажува внатрешен сообраќај или надворешниот транспорт. Дневникот на огнениот ѕид на домаќинот и снимањето на нагорната врска се различни докази, дури и кога ги делат секунди. Ознаката е она што му овозможува на друг инженер да ја репродуцира сликата.

Држете го проблемот со часовникот видлив. Часовниците дрифтуваат, а временската ознака земена на еден домаќин може да не биде директно споредлива со друга. Ако домаќините не можат да се синхронизираат, оградете го обидот со временски ознаки од двата и користете го редоследот наместо апсолутната вредност. Запишете го измереното поместување наместо тивко да ги прилагодувате времињата.

Спојте ги полињата што точката навистина ги открива

Споредете адреси и протоколски полиња на точки што навистина ги откриваат. Земете го предвид намерното преведување, бидејќи препишаниот tuple е сѐ уште истиот разговор. За овластен тест IPv4 Echo, дефиницијата на RFC 792 дава полиња за идентификатор и низа што помагаат да се спојат барањата и одговорите. Задржете ги и адресите и прозорецот, бидејќи само вредност на низа не е единствен идентитет.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Каде што надворешниот дел е шифриран, држете го разговорот со партнерот и неговата насока во посебен запис. Не треба да се очекува внатрешниот Echo идентификатор да опстане надвор во истиот облик. Надворешните и внатрешните броења не смеат да се споредуваат без да се наведе претставувањето.

Пријавете го интервалот што недостасува, не осомничен

Набљудувањето што недостасува е ограничен доказ, не доказ за пад на тој уред. Филтрите, поставеноста на снимањето, изгубените податоци од снимањето и прозорецот што го пропуштил обидот сите создаваат нецелосен запис. Кажете што недостасува и помеѓу кои граници. Отсуството исто така бара рок, затоа наведете колку долго набљудувавте и што требало да се појави.

Тврдењето на другата страна дека го препратила сообраќајот е контекст, никогаш набљудување. Предадете го текот, временските ознаки, означените граници и еден тесен пример. Држете го извештајот доволно краток за да се истакне бараното набљудување. Тоа го претвора следното барање во прецизно мерење наместо во обвинение.

Ставете го бараното мерење во една реченица. Потоа престанете да пишувате.