Um fluxo, quatro fronteiras: encontrar o último pacote

Um lado diz que enviou o tráfego; o outro diz que ele não chegou a lugar nenhum. Esse par de afirmações soa como contradição e costuma ser apenas duas medições diferentes. Uma contagem de pacotes, um log de firewall e uma captura descrevem camadas diferentes, e compará-los sem rótulos produz um suspeito em vez de uma localização. Construa o relatório em torno de um fluxo e dos seus pontos de observação.

Um contador sem contexto prova pouco

Um gateway que relata bytes enviados não é prova de que o outro lado recebeu uma requisição específica. O contador pode incluir outros fluxos, outros horários ou outra camada de encapsulamento. Um contador que sobe enquanto um destino não vê nada ainda pode estar correto, porque mediu outra pergunta. Antes de comparar qualquer coisa, fixe o fluxo, a janela e a camada.

Dois números de camadas diferentes podem discordar com honestidade. A discordância é o início da investigação, não a conclusão.

Rotule cada ponto de observação

Para cada observação, registre o dispositivo, a interface ou o ponto de captura, a direção, a referência de relógio e se ela mostra o tráfego interno ou o transporte externo. Um log de firewall no host e uma captura no uplink são evidências diferentes mesmo quando separados por segundos. O rótulo é o que permite a outro engenheiro reproduzir a visão.

Mantenha o problema do relógio visível. Os relógios derivam, e um carimbo de tempo obtido em um host pode não ser diretamente comparável com outro. Se os hosts não puderem ser sincronizados, cerque a tentativa com carimbos de tempo dos dois lados e use a ordem em vez do valor absoluto. Anote o desvio medido em vez de ajustar os horários em silêncio.

Compare os campos que o ponto realmente expõe

Compare endereços e campos de protocolo nos pontos que realmente os expõem. Considere a tradução deliberada, porque uma tupla reescrita continua sendo a mesma conversa. Para um teste IPv4 Echo autorizado, a definição da RFC 792 fornece campos de identificador e de sequência que ajudam a casar requisições e respostas. Mantenha também os endereços e a janela, já que um valor de sequência sozinho não é uma identidade única.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Onde o trecho externo é cifrado, mantenha a conversa com o par e sua direção em um registro separado. Não se deve esperar que o identificador Echo interno sobreviva na mesma forma do lado de fora. Contagens externas e internas não devem ser comparadas sem declarar a representação.

Relate o intervalo ausente, não um suspeito

Uma observação ausente é evidência limitada, não prova de queda naquele dispositivo. Filtros, posicionamento da captura, dados de captura perdidos e uma janela que perdeu a tentativa produzem um registro incompleto. Diga o que falta e entre quais fronteiras. Uma ausência também precisa de validade, então declare por quanto tempo observou e o que teria de aparecer.

A alegação do outro lado de que encaminhou o tráfego é contexto, nunca observação. Entregue o fluxo, os carimbos de tempo, as fronteiras rotuladas e um exemplo estreito. Mantenha o relatório curto o bastante para que a observação pedida se destaque. Isso transforma o próximo pedido em uma medição precisa, não em uma acusação.

Coloque a medição pedida em uma frase. Depois pare de escrever.