Один поток, четыре границы: поиск последнего пакета

Одна сторона говорит, что отправила трафик; другая — что он никуда не пришёл. Эта пара утверждений звучит как противоречие, а обычно представляет собой два разных измерения. Счётчик пакетов, журнал межсетевого экрана и запись трафика описывают разные уровни, и сравнение их без пометок даёт подозреваемого вместо места. Стройте отчёт вокруг одного потока и его точек наблюдения.

Счётчик без контекста доказывает немного

Сообщение шлюза об отправленных байтах не доказывает, что дальняя сторона получила конкретный запрос. Счётчик может включать другие потоки, другие моменты времени или другой уровень инкапсуляции. Счётчик, который растёт, пока получатель ничего не видит, всё равно может быть верным, потому что измерял другой вопрос. Прежде чем что-либо сравнивать, зафиксируйте поток, окно и уровень.

Два числа с разных уровней могут честно расходиться. Расхождение — это начало расследования, а не вывод.

Помечайте каждую точку наблюдения

Для каждого наблюдения записывайте устройство, интерфейс или точку перехвата, направление, опорные часы и то, показывает ли оно внутренний трафик или внешний транспорт. Журнал межсетевого экрана на хосте и запись на вышестоящем канале — разные доказательства, даже если их разделяют секунды. Именно пометка позволяет другому инженеру воспроизвести картину.

Держите проблему часов на виду. Часы уходят, и отметка времени, снятая на одном хосте, может быть напрямую несопоставима с другой. Если хосты нельзя синхронизировать, ограничьте попытку отметками времени с обеих сторон и используйте порядок, а не абсолютное значение. Записывайте измеренное смещение, а не подправляйте время молча.

Сравнивайте поля, которые точка действительно показывает

Сравнивайте адреса и поля протокола в тех точках, где они действительно видны. Учитывайте намеренное преобразование, потому что переписанный кортеж остаётся тем же разговором. Для разрешённого теста IPv4 Echo определение в RFC 792 даёт поля идентификатора и последовательности, которые помогают сопоставить запросы и ответы. Сохраняйте также адреса и окно, поскольку одно значение последовательности не является уникальным идентификатором.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Там, где внешний участок зашифрован, ведите разговор с партнёром и его направление в отдельной записи. Не следует ожидать, что внутренний идентификатор Echo сохранится снаружи в том же виде. Внешние и внутренние счётчики нельзя сравнивать, не указав представление.

Сообщайте о недостающем интервале, а не о подозреваемом

Отсутствующее наблюдение — это ограниченное доказательство, а не доказательство того, что пакет потерян на этом устройстве. Фильтры, место записи, потерянные данные записи и окно, пропустившее попытку, дают неполную картину. Скажите, чего не хватает и между какими границами. Отсутствию тоже нужен срок, поэтому укажите, как долго вы наблюдали и что должно было появиться.

Утверждение другой стороны о том, что она переслала трафик, — это контекст, а не наблюдение. Передайте поток, отметки времени, помеченные границы и один узкий пример. Держите отчёт настолько коротким, чтобы запрошенное наблюдение выделялось. Тогда следующий запрос станет точным измерением, а не обвинением.

Уложите запрошенное измерение в одно предложение. Затем прекратите писать.