एउटा प्रवाह, चार सीमाहरू: अन्तिम प्याकेट खोज्दै

एउटा पक्ष भन्छ कि उसले ट्राफिक पठायो; अर्को पक्ष भन्छ कि त्यो कतै पुगेन। यी दुई भनाइ विरोधाभासजस्तो सुनिन्छन् र सामान्यतया दुई फरक मापन मात्र हुन्। प्याकेट गणना, फायरवाल लग र क्याप्चरले फरक तहहरू वर्णन गर्छन्, र तिनलाई लेबलबिना तुलना गर्दा स्थानको सट्टा शङ्कास्पद व्यक्ति मात्र प्राप्त हुन्छ। प्रतिवेदनलाई एउटा प्रवाह र त्यसका अवलोकन बिन्दुहरूको वरिपरि बनाउनुहोस्।

सन्दर्भबिनाको गणकले थोरै मात्र प्रमाणित गर्छ

गेटवेले पठाइएका बाइट रिपोर्ट गर्नु भनेको टाढाको छेउले कुनै निश्चित अनुरोध प्राप्त गर्‍यो भन्ने प्रमाण होइन। गणकमा अन्य प्रवाह, अन्य समय वा इन्क्याप्सुलेसनको अर्को तह समावेश हुन सक्छ। गन्तव्यले केही नदेख्दा बढ्ने गणक पनि सही हुन सक्छ, किनकि उसले फरक प्रश्न मापन गरेको थियो। केही तुलना गर्नुअघि प्रवाह, समय-खिडकी र तह निश्चित गर्नुहोस्।

फरक तहका दुई सङ्ख्या इमानदारीसाथ नमिल्न सक्छन्। त्यो नमिल्नु अनुसन्धानको सुरुवात हो, निष्कर्ष होइन।

हरेक अवलोकन बिन्दुलाई लेबल गर्नुहोस्

हरेक अवलोकनका लागि यन्त्र, इन्टरफेस वा हुक, दिशा, घडीको सन्दर्भ र यसले भित्री ट्राफिक देखाउँछ कि बाहिरी ट्रान्सपोर्ट भन्ने कुरा लेख्नुहोस्। होस्टमा रहेको फायरवाल लग र अपलिङ्कमा गरिएको क्याप्चर सेकेन्डभरको फरक भए पनि फरक प्रमाण हुन्। लेबलले नै अर्को इन्जिनियरलाई त्यो दृश्य पुनः बनाउन दिन्छ।

घडीको समस्या देखिने गरी राख्नुहोस्। घडीहरू बग्छन्, र एउटा होस्टमा लिइएको समय-छाप अर्कोसँग सिधै तुलना गर्न नमिल्न सक्छ। होस्टहरू सिङ्क्रोनाइज गर्न नसकिने भए प्रयासलाई दुवैतर्फका समय-छापले घेर्नुहोस् र निरपेक्ष मानको सट्टा क्रम प्रयोग गर्नुहोस्। समयहरू चुपचाप मिलाउनुको सट्टा नापिएको अफसेट लेख्नुहोस्।

बिन्दुले वास्तवमै देखाउने फिल्डहरू तुलना गर्नुहोस्

ठेगाना र प्रोटोकल फिल्डहरू ती बिन्दुमा तुलना गर्नुहोस् जहाँ तिनीहरू साँच्चै देखिन्छन्। जानाजान गरिएको अनुवादलाई ध्यानमा राख्नुहोस्, किनकि पुनर्लेखित टुपल पनि उही संवाद हो। अधिकृत IPv4 Echo परीक्षणका लागि RFC 792 को परिभाषा ले अनुरोध र जवाफ मिलाउन सघाउने पहिचानकर्ता र क्रम फिल्ड दिन्छ। ठेगाना र समय-खिडकी पनि राख्नुहोस्, किनकि क्रम मान मात्र अद्वितीय पहिचान होइन।

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

जहाँ बाहिरी खुट्टा इन्क्रिप्ट गरिएको छ, त्यहाँ सहकर्मी संवाद र उसको दिशा छुट्टै अभिलेखमा राख्नुहोस्। भित्री Echo पहिचानकर्ता बाहिर उही आकारमा टिक्छ भन्ने आशा गर्नु हुँदैन। बाहिरी र भित्री गणना प्रतिनिधित्व नखुलाई तुलना गर्नु हुँदैन।

शङ्कास्पद व्यक्ति होइन, हराएको अन्तराल रिपोर्ट गर्नुहोस्

हराएको अवलोकन सीमित प्रमाण हो, त्यो यन्त्रमा प्याकेट खसेको प्रमाण होइन। फिल्टर, क्याप्चर राखिएको ठाउँ, हराएको क्याप्चर डाटा र प्रयास छुटेको समय-खिडकीले अपूर्ण अभिलेख बनाउँछन्। के हराएको छ र कुन सीमाबीच हराएको छ भन्नुहोस्। अनुपस्थितिलाई पनि म्याद चाहिन्छ, त्यसैले कति बेर अवलोकन गर्नुभयो र के देखिनुपर्थ्यो भन्ने बताउनुहोस्।

अर्को पक्षले ट्राफिक अगाडि पठाएँ भन्ने दाबी सन्दर्भ हो, अवलोकन कहिल्यै होइन। प्रवाह, समय-छाप, लेबल गरिएका सीमा र एउटा साँघुरो उदाहरण हस्तान्तरण गर्नुहोस्। प्रतिवेदनलाई यति छोटो राख्नुहोस् कि मागिएको अवलोकन स्पष्ट देखियोस्। त्यसले अर्को अनुरोधलाई आरोपको सट्टा सटीक मापन बनाउँछ।

मागिएको मापन एउटै वाक्यमा राख्नुहोस्। त्यसपछि लेख्न छोड्नुहोस्।