एक प्रवाह, चार सीमा: शेवटचा पॅकेट शोधणे

एक बाजू सांगते की तिने रहदारी पाठवली; दुसरी सांगते की ती कुठेच पोहोचली नाही। ही दोन विधाने विरोधाभासासारखी वाटतात आणि सहसा ती फक्त दोन वेगळी मोजमापे असतात। पॅकेट मोजणी, फायरवॉल लॉग आणि कॅप्चर वेगवेगळ्या स्तरांचे वर्णन करतात, आणि ती लेबलांशिवाय तुलना केल्यास स्थानाऐवजी संशयित मिळतो। अहवाल एका प्रवाहाभोवती आणि त्याच्या निरीक्षण बिंदूंभोवती तयार करा।

संदर्भाशिवाय मोजणी फारसे सिद्ध करत नाही

बाहेर जाणारे बाइट नोंदवणारे गेटवे हे दूरच्या टोकाला विशिष्ट विनंती मिळाली याचा पुरावा नाही। मोजणीत इतर प्रवाह, इतर वेळा किंवा इन्कॅप्सुलेशनचा दुसरा स्तर समाविष्ट असू शकतो। गंतव्यस्थानाला काहीही दिसत नसतानाही वाढणारी मोजणी अजूनही बरोबर असू शकते, कारण तिने वेगळा प्रश्न मोजला। काहीही तुलना करण्यापूर्वी प्रवाह, विंडो आणि स्तर निश्चित करा।

वेगवेगळ्या स्तरांतील दोन संख्या प्रामाणिकपणे भिन्न असू शकतात। ती भिन्नता तपासाची सुरुवात आहे, निष्कर्ष नाही।

प्रत्येक निरीक्षण बिंदूला लेबल लावा

प्रत्येक निरीक्षणासाठी उपकरण, इंटरफेस किंवा हुक, दिशा, घड्याळ संदर्भ आणि ते आतील रहदारी दाखवते की बाहेरील वाहतूक हे नोंदवा। होस्टवरील फायरवॉल लॉग आणि अपलिंकवरील कॅप्चर काही सेकंदांचे अंतर असले तरी वेगवेगळे पुरावे आहेत। लेबलमुळेच दुसऱ्या अभियंत्याला दृश्य पुन्हा तयार करता येते।

घड्याळाची समस्या दृश्यमान ठेवा। घड्याळे सरकतात, आणि एका होस्टवर घेतलेली वेळमुद्रा दुसऱ्याशी थेट तुलनीय नसू शकते। होस्ट सिंक्रोनाइझ करता येत नसल्यास, प्रयत्नाला दोन्हींच्या वेळमुद्रांनी वेढा आणि निरपेक्ष मूल्याऐवजी क्रम वापरा। वेळा गुपचूप समायोजित करण्याऐवजी मोजलेला ऑफसेट नोंदवा।

बिंदू प्रत्यक्षात जे फील्ड उघड करतो ते जुळवा

ज्या बिंदूंवर ती प्रत्यक्षात उघड होतात तिथे पत्ते आणि प्रोटोकॉल फील्डची तुलना करा। जाणूनबुजून केलेला अनुवाद विचारात घ्या, कारण पुन्हा लिहिलेला टपल अजूनही तोच संवाद आहे। अधिकृत IPv4 Echo चाचणीसाठी RFC 792 व्याख्या विनंत्या आणि प्रतिसाद जुळवण्यास मदत करणारी ओळख आणि क्रम फील्ड देते। पत्ते आणि विंडोही ठेवा, कारण केवळ क्रम मूल्य ही अद्वितीय ओळख नाही।

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

जिथे बाहेरील पाय एन्क्रिप्टेड आहे, तिथे समकक्षासोबतचा संवाद आणि त्याची दिशा वेगळ्या नोंदीत ठेवा। आतील Echo ओळख बाहेर त्याच स्वरूपात टिकेल अशी अपेक्षा करू नये। प्रतिनिधित्व न सांगता बाहेरील आणि आतील मोजणीची तुलना करू नये।

गहाळ अंतराची नोंद द्या, संशयिताची नाही

गहाळ निरीक्षण मर्यादित पुरावा आहे, त्या उपकरणावर पडण्याचा पुरावा नाही। फिल्टर, कॅप्चरची जागा, गमावलेला कॅप्चर डेटा आणि प्रयत्न चुकलेली विंडो सर्व अपूर्ण नोंद तयार करतात। काय गहाळ आहे आणि कोणत्या सीमांमध्ये ते सांगा। अनुपस्थितीलाही मुदत लागते, म्हणून तुम्ही किती वेळ निरीक्षण केले आणि काय दिसले पाहिजे होते ते सांगा।

दुसऱ्या बाजूचा दावा की तिने रहदारी पुढे पाठवली हा संदर्भ आहे, कधीही निरीक्षण नाही। प्रवाह, वेळमुद्रा, लेबल केलेल्या सीमा आणि एक अरुंद उदाहरण सुपूर्द करा। विनंती केलेले निरीक्षण ठळक दिसावे म्हणून अहवाल पुरेसा छोटा ठेवा। यामुळे पुढील विनंती आरोपाऐवजी अचूक मोजमाप बनते।

विनंती केलेले मोजमाप एका वाक्यात ठेवा। मग लिहिणे थांबवा।