Én flyt, fire grenser: jakten på den siste pakken

Den ene parten hevder at den sendte trafikken; den andre at den aldri nådde fram. Begge utsagnene høres ut som en selvmotsigelse, men er som regel to ulike målinger. En pakketelling, en brannmurlogg og en fangst beskriver ulike lag, og å sammenligne dem uten merkelapper gir en mistenkt framfor en posisjon. Bygg rapporten rundt én flyt og observasjonspunktene for den.

En teller uten sammenheng beviser lite

At en gateway rapporterer utgående byte, er ikke bevis for at mottakeren fikk en bestemt forespørsel. Telleren kan omfatte andre flyter, andre tidspunkt eller et annet innkapslingsnivå. En teller som stiger mens målet ikke ser noe, kan likevel være riktig, fordi den målte noe annet. Før du sammenligner noe som helst, må flyten, tidsvinduet og nivået fastsettes.

To tall fra ulike nivåer kan være uenige på ærlig vis. Uenigheten er starten på undersøkelsen, ikke konklusjonen.

Merk hvert observasjonspunkt

For hver observasjon noterer du enheten, grensesnittet eller kroken, retningen, klokkereferansen og om den viser indre trafikk eller ytre transport. En brannmurlogg på verten og en fangst på uplinken er forskjellige bevis selv når de ligger sekunder fra hverandre. Merkelappen er det som gjør at en annen ingeniør kan gjenskape bildet.

Hold klokkeproblemet synlig. Klokker driver, og et tidsstempel fra én vert er kanskje ikke direkte sammenlignbart med et annet. Hvis vertene ikke kan synkroniseres, rammer du inn forsøket med tidsstempler fra begge sider og bruker rekkefølgen framfor absoluttverdien. Før opp forskyvningen du målte, i stedet for å justere tidene i stillhet.

Sammenlign feltene punktet faktisk viser

Sammenlign adresser og protokollfelt på punkter som virkelig viser dem. Regn med bevisst oversetting, fordi en omskrevet tuppel fortsatt er den samme samtalen. For en autorisert IPv4 Echo-test gir definisjonen i RFC 792 identifikator- og sekvensfelt som hjelper med å pare forespørsler og svar. Behold adressene og vinduet også, siden en sekvensverdi alene ikke er en entydig identitet.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Der den ytre delen er kryptert, fører du motpartssamtalen og retningen i en egen oppføring. Det indre Echo-identifikatoren kan ikke forventes å overleve i samme form utenfor. Ytre og indre tellinger må ikke sammenlignes uten at representasjonen er oppgitt.

Rapporter det manglende intervallet, ikke en mistenkt

En manglende observasjon er avgrenset bevis, ikke bevis for at pakken ble droppet på den enheten. Filtre, plassering av fangsten, tapte fangstdata og et tidsvindu som bommet på forsøket gir alle en ufullstendig registrering. Si hva som mangler og mellom hvilke grenser. Et fravær trenger også en utløpsdato, så oppgi hvor lenge du observerte og hva som måtte ha dukket opp.

En påstand fra den andre siden om at den videresendte trafikken, er kontekst, aldri en observasjon. Overlever flyten, tidsstemplene, de merkede grensene og ett smalt eksempel. Hold rapporten kort nok til at den etterspurte observasjonen trer fram. Det gjør den neste forespørselen til en presis måling i stedet for en anklage.

Sett den etterspurte målingen i én setning. Slutt så å skrive.