Én strøm, fire grenser: å finne den siste pakken

Den ene siden sier at den sendte trafikken; den andre sier at den aldri kom fram. De to utsagnene høres ut som en motsetning, men er vanligvis bare to forskjellige målinger. En pakketelling, en brannmurlogg og et opptak beskriver forskjellige lag, og å sammenligne dem uten etiketter gir en mistenkt i stedet for en plassering. Bygg rapporten rundt én strøm og observasjonspunktene dens.

En teller uten kontekst beviser lite

At en gateway rapporterer sendte byte, er ikke bevis for at den andre enden mottok en bestemt forespørsel. Telleren kan omfatte andre strømmer, andre tidspunkter eller et annet innkapslingslag. En teller som øker mens en destinasjon ikke ser noe, kan fortsatt være korrekt, fordi den målte et annet spørsmål. Før du sammenligner noe, må du fastsette strømmen, tidsvinduet og laget.

To tall fra forskjellige lag kan være uenige på ærlig vis. Uenigheten er begynnelsen på undersøkelsen, ikke konklusjonen.

Merk hvert observasjonspunkt

For hver observasjon fører du opp enheten, grensesnittet eller kroken, retningen, klokkereferansen og om den viser indre trafikk eller den ytre transporten. En brannmurlogg på verten og et opptak på opplenken er forskjellige bevis selv når de ligger sekunder fra hverandre. Etiketten er det som gjør at en annen ingeniør kan gjenskape bildet.

Hold klokkeproblemet synlig. Klokker driver, og et tidsstempel tatt på én vert er kanskje ikke direkte sammenlignbart med et annet. Hvis vertene ikke kan synkroniseres, rammer du inn forsøket med tidsstempler fra begge og bruker rekkefølgen i stedet for absoluttverdien. Noter forskyvningen du målte, i stedet for å justere tidene i det skjulte.

Sammenlign feltene punktet faktisk viser

Sammenlign adresser og protokollfelt på punkter som faktisk viser dem. Ta høyde for bevisst oversettelse, fordi en omskrevet tuppel fortsatt er den samme samtalen. For en autorisert IPv4 Echo-test gir definisjonen i RFC 792 identifikator- og sekvensfelt som hjelper med å koble forespørsler og svar. Behold adressene og tidsvinduet også, siden en sekvensverdi alene ikke er en entydig identitet.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Der den ytre delen er kryptert, fører du motpartssamtalen og retningen i en egen post. Det indre Echo-identifikatoren bør ikke forventes å overleve i samme form utenfor. Ytre og indre tellinger må ikke sammenlignes uten at representasjonen er oppgitt.

Rapporter det manglende intervallet, ikke en mistenkt

En manglende observasjon er avgrenset bevis, ikke bevis for at pakken ble droppet på den enheten. Filtre, plassering av opptak, tapte opptaksdata og et tidsvindu som gikk glipp av forsøket gir alle en ufullstendig registrering. Si hva som mangler og mellom hvilke grenser. En mangel trenger også et utløp, så angi hvor lenge du observerte og hva som måtte ha dukket opp.

En påstand fra den andre siden om at den videresendte trafikk, er kontekst, aldri en observasjon. Overlever strømmen, tidsstemplene, de merkede grensene og ett smalt eksempel. Hold rapporten kort nok til at den etterspurte observasjonen skiller seg ut. Det gjør den neste forespørselen til en presis måling i stedet for en anklage.

Sett den etterspurte målingen i én setning. Slutt så å skrive.