Éin straum, fire grenser: å finna den siste pakken

Den eine sida seier at ho sende trafikken; den andre seier at han aldri kom fram. Dei to utsegnene høyrest ut som ein motsetnad, men er vanlegvis berre to ulike målingar. Ei pakketeljing, ein brannmurlogg og eit opptak skildrar ulike lag, og å samanlikne dei utan etikettar gjev ein mistenkt i staden for ein stad. Bygg rapporten rundt éin straum og observasjonspunkta hans.

Ein teljar utan samanheng beviser lite

At ein gateway rapporterer sende byte, er ikkje prov for at den andre enden tok imot ei bestemt førespurnad. Teljaren kan omfatte andre straumar, andre tidspunkt eller eit anna innkapslingslag. Ein teljar som aukar medan ein destinasjon ikkje ser noko, kan framleis vere rett, fordi han målte eit anna spørsmål. Før du samanliknar noko, må du fastsetje straumen, tidsvindauget og laget.

To tal frå ulike lag kan vere usamde på ærleg vis. Ueininga er byrjinga på undersøkinga, ikkje konklusjonen.

Merk kvart observasjonspunkt

For kvar observasjon fører du opp eininga, grensesnittet eller kroken, retninga, klokkereferansen og om han viser indre trafikk eller den ytre transporten. Ein brannmurlogg på verten og eit opptak på opplenka er ulike prov sjølv når dei ligg sekund frå kvarandre. Etiketten er det som lèt ein annan ingeniør gjenskape bildet.

Hald klokkeproblemet synleg. Klokker driv, og eit tidsstempel teke på éin vert er kanskje ikkje direkte samanliknbart med eit anna. Viss vertane ikkje kan synkroniserast, rammar du inn forsøket med tidsstempel frå begge og brukar rekkjefølgja i staden for absoluttverdien. Noter forskyvinga du målte, i staden for å justere tidene i det stille.

Samanlikn felta punktet faktisk viser

Samanlikn adresser og protokollfelt på punkt som faktisk viser dei. Ta høgd for medviten omsetjing, fordi ein omskriven tuppel framleis er den same samtalen. For ein autorisert IPv4 Echo-test gjev definisjonen i RFC 792 identifikator- og sekvensfelt som hjelper med å kople førespurnader og svar. Ta vare på adressene og tidsvindauget òg, sidan ein sekvensverdi åleine ikkje er ein eintydig identitet.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Der den ytre delen er kryptert, fører du motpartssamtalen og retninga i ein eigen post. Den indre Echo-identifikatoren bør ein ikkje vente at skal overleve i same form utanfor. Ytre og indre teljingar må ikkje samanliknast utan at representasjonen er oppgjeven.

Rapporter det manglande intervallet, ikkje ein mistenkt

Ein manglande observasjon er avgrensa prov, ikkje prov for at pakken vart droppa på den eininga. Filter, plassering av opptak, tapte opptaksdata og eit tidsvindauge som gjekk glipp av forsøket gjev alle ei ufullstendig registering. Sei kva som manglar og mellom kva grenser. Eit fråvær treng òg eit utløp, så opplys kor lenge du observerte og kva som måtte ha dukka opp.

Ei påstand frå den andre sida om at ho vidaresende trafikk, er kontekst, aldri ein observasjon. Overlever straumen, tidsstempla, dei merkte grensene og eitt smalt døme. Hald rapporten kort nok til at den etterspurde observasjonen skil seg ut. Det gjer den neste førespurnaden til ei presis måling i staden for ei skulding.

Set den etterspurde målinga i éi setning. Slutt så å skrive.