Satu aliran, empat sempadan: mencari paket terakhir

Satu pihak berkata ia menghantar trafik; pihak lain berkata ia tidak sampai ke mana-mana. Pasangan kenyataan itu kedengaran seperti percanggahan dan biasanya hanya dua ukuran berbeza. Kiraan paket, log tembok api dan tangkapan menerangkan lapisan yang berbeza, dan membandingkannya tanpa label menghasilkan suspek dan bukan lokasi. Bina laporan di sekitar satu aliran dan titik pemerhatiannya.

Pengira tanpa konteks membuktikan sedikit

Get laluan yang melaporkan bait keluar bukan bukti bahawa hujung jauh menerima permintaan tertentu. Pengira itu mungkin merangkumi aliran lain, masa lain atau lapisan enkapsulasi yang lain. Pengira yang meningkat sedangkan destinasi tidak melihat apa-apa mungkin masih betul, kerana ia mengukur soalan yang berbeza. Sebelum membandingkan apa-apa, tetapkan aliran, tetingkap dan lapisan.

Dua nombor daripada lapisan berbeza boleh berselisih secara jujur. Perselisihan itu ialah permulaan siasatan, bukan kesimpulan.

Labelkan setiap titik pemerhatian

Untuk setiap pemerhatian, rekod peranti, antara muka atau cangkuk, arah, rujukan jam dan sama ada ia menunjukkan trafik dalaman atau pengangkutan luaran. Log tembok api pada hos dan tangkapan pada pautan atas ialah bukti berbeza walaupun dipisahkan beberapa saat. Label itulah yang membolehkan jurutera lain menghasilkan semula pandangan itu.

Kekalkan masalah jam kelihatan. Jam hanyut, dan cap masa yang diambil pada satu hos mungkin tidak setanding secara langsung dengan yang lain. Jika hos tidak dapat disegerakkan, kurungkan percubaan dengan cap masa daripada kedua-duanya dan gunakan urutan dan bukan nilai mutlak. Catatkan offset yang anda ukur dan bukannya melaraskan masa secara senyap.

Padankan medan yang benar-benar didedahkan oleh titik itu

Bandingkan alamat dan medan protokol pada titik yang benar-benar mendedahkannya. Ambil kira terjemahan yang disengajakan, kerana tuple yang ditulis semula masih perbualan yang sama. Untuk ujian Echo IPv4 yang dibenarkan, takrif RFC 792 memberikan medan pengecam dan jujukan yang membantu memadankan permintaan dan balasan. Simpan juga alamat dan tetingkap, kerana nilai jujukan semata-mata bukan identiti unik.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Di mana kaki luaran disulitkan, simpan perbualan dengan rakan dan arahnya dalam rekod berasingan. Pengecam Echo dalaman tidak sepatutnya dijangka kekal di luar dalam bentuk yang sama. Kiraan luaran dan dalaman tidak boleh dibandingkan tanpa menyatakan perwakilannya.

Laporkan selang yang hilang, bukan suspek

Pemerhatian yang hilang ialah bukti terhad, bukan bukti kejatuhan pada peranti itu. Penapis, kedudukan tangkapan, data tangkapan yang hilang dan tetingkap yang terlepas percubaan semuanya menghasilkan rekod yang tidak lengkap. Beritahu apa yang hilang dan antara sempadan mana. Ketiadaan juga memerlukan tamat tempoh, jadi nyatakan berapa lama anda memerhati dan apa yang sepatutnya muncul.

Dakwaan pihak lain bahawa ia memajukan trafik ialah konteks, tidak pernah pemerhatian. Serahkan aliran, cap masa, sempadan berlabel dan satu contoh sempit. Pastikan laporan cukup pendek supaya pemerhatian yang diminta menonjol. Itu menjadikan permintaan seterusnya ukuran yang tepat dan bukannya tuduhan.

Letakkan ukuran yang diminta dalam satu ayat. Kemudian berhenti menulis.