Un singur flux, patru granițe: găsirea ultimului pachet

O parte spune că a trimis traficul; cealaltă spune că nu a ajuns nicăieri. Această pereche de afirmații sună ca o contradicție și de obicei sunt doar două măsurători diferite. Un contor de pachete, un jurnal de firewall și o captură descriu straturi diferite, iar comparația lor fără etichete produce un suspect în loc de o locație. Construiește raportul în jurul unui singur flux și al punctelor sale de observare.

Un contor fără context dovedește puțin

Faptul că o poartă de acces raportează octeți trimiși nu este dovada că celălalt capăt a primit o cerere anume. Contorul poate include alte fluxuri, alte momente sau un alt strat de încapsulare. Un contor care crește în timp ce destinația nu vede nimic poate fi totuși corect, pentru că a măsurat o altă întrebare. Înainte de a compara ceva, fixează fluxul, fereastra și stratul.

Două numere din straturi diferite pot fi în dezacord în mod onest. Dezacordul este începutul investigației, nu concluzia.

Etichetează fiecare punct de observare

Pentru fiecare observație, notează dispozitivul, interfața sau punctul de captare, direcția, referința de ceas și dacă arată traficul interior sau transportul exterior. Un jurnal de firewall pe gazdă și o captură pe uplink sunt dovezi diferite chiar și atunci când le despart câteva secunde. Eticheta este ceea ce permite altui inginer să reproducă imaginea.

Ține problema ceasului vizibilă. Ceasurile derivă, iar un marcaj de timp luat pe o gazdă poate să nu fie direct comparabil cu altul. Dacă gazdele nu pot fi sincronizate, încadrează încercarea cu marcaje de timp de la ambele și folosește ordinea, nu valoarea absolută. Notează decalajul măsurat, în loc să ajustezi orele în tăcere.

Compară câmpurile pe care punctul chiar le expune

Compară adresele și câmpurile de protocol în punctele care chiar le expun. Ia în calcul traducerea deliberată, pentru că un tuplu rescris rămâne aceeași conversație. Pentru un test IPv4 Echo autorizat, definiția din RFC 792 oferă câmpuri de identificator și de secvență care ajută la potrivirea cererilor cu răspunsurile. Păstrează și adresele și fereastra, fiindcă o valoare de secvență singură nu este o identitate unică.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Acolo unde segmentul exterior este criptat, ține conversația cu partenerul și direcția ei într-o înregistrare separată. Nu trebuie să te aștepți ca identificatorul Echo interior să supraviețuiască în aceeași formă în exterior. Contoarele exterioare și cele interioare nu trebuie comparate fără a declara reprezentarea.

Raportează intervalul lipsă, nu un suspect

O observație lipsă este o dovadă limitată, nu o dovadă că pachetul a fost pierdut pe acel dispozitiv. Filtrele, plasarea capturii, datele de captură pierdute și o fereastră care a ratat încercarea produc toate o înregistrare incompletă. Spune ce lipsește și între ce granițe. O absență are nevoie și de o expirare, așa că precizează cât timp ai observat și ce ar fi trebuit să apară.

Afirmația celeilalte părți că a retransmis traficul este context, niciodată observație. Predă fluxul, marcajele de timp, granițele etichetate și un singur exemplu îngust. Ține raportul destul de scurt încât observația cerută să iasă în evidență. Asta transformă următoarea cerere într-o măsurătoare precisă, nu într-o acuzație.

Pune măsurătoarea cerută într-o singură propoziție. Apoi oprește-te din scris.