Jedan tok, četiri granice: pronalaženje posljednjeg paketa

Jedna strana tvrdi da je poslala saobraćaj; druga da nikamo nije stigao. Taj par izjava zvuči kao protivrječnost, a obično su to samo dva različita mjerenja. Brojanje paketa, dnevnik vatrozida i snimka opisuju različite slojeve, a njihovo poređenje bez oznaka daje sumnjivca umjesto lokacije. Sagradi izvještaj oko jednog toka i njegovih tačaka posmatranja.

Brojač bez konteksta malo dokazuje

To što mrežni prolaz prijavljuje poslane bajtove nije dokaz da je suprotna strana primila određeni zahtjev. Brojač može obuhvatati druge tokove, druga vremena ili drugi sloj enkapsulacije. Brojač koji raste dok odredište ništa ne vidi i dalje može biti ispravan, jer je mjerio drugo pitanje. Prije bilo kakvog poređenja utvrdi tok, vremenski prozor i sloj.

Dva broja iz različitih slojeva mogu se iskreno ne slagati. Neslaganje je početak istrage, a ne zaključak.

Označi svaku tačku posmatranja

Za svako posmatranje zabilježi uređaj, interfejs ili tačku presretanja, smjer, referencu sata i to da li prikazuje unutrašnji saobraćaj ili vanjski transport. Dnevnik vatrozida na hostu i snimka na uzlaznom linku različiti su dokazi čak i kada ih dijeli nekoliko sekundi. Oznaka je ono što drugom inženjeru omogućava da ponovi taj prikaz.

Drži problem sata vidljivim. Satovi odstupaju, a vremenska oznaka uzeta na jednom hostu možda nije direktno uporediva s drugom. Ako se hostovi ne mogu sinhronizovati, uokviri pokušaj oznakama s obje strane i koristi redoslijed umjesto apsolutne vrijednosti. Zabilježi izmjereni pomak umjesto da tiho podešavaš vremena.

Upoređuj polja koja tačka zaista izlaže

Upoređuj adrese i polja protokola na tačkama koje ih zaista izlažu. Uzmi u obzir namjerno prevođenje, jer je prepisana torka i dalje isti razgovor. Za odobreni IPv4 Echo test, definicija iz RFC 792 daje polja identifikatora i sekvence koja pomažu da se zahtjevi i odgovori spoje. Sačuvaj i adrese i prozor, jer sama vrijednost sekvence nije jedinstveni identitet.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Gdje je vanjska dionica šifrovana, vodi razgovor sa parom i njegov smjer u odvojenom zapisu. Ne treba očekivati da će unutrašnji Echo identifikator preživjeti u istom obliku spolja. Vanjska i unutrašnja brojanja ne smiju se porediti bez navođenja reprezentacije.

Prijavi interval koji nedostaje, a ne sumnjivca

Posmatranje koje nedostaje ograničen je dokaz, a ne dokaz da je paket pao na tom uređaju. Filteri, mjesto snimanja, izgubljeni podaci snimke i prozor koji je propustio pokušaj daju nepotpun zapis. Reci šta nedostaje i između kojih granica. Odsustvo takođe traži rok, pa navedi koliko dugo si posmatrao i šta bi moralo da se pojavi.

Tvrdnja druge strane da je proslijedila saobraćaj jeste kontekst, nikada posmatranje. Predaj tok, vremenske oznake, označene granice i jedan uzak primjer. Neka izvještaj bude dovoljno kratak da se traženo posmatranje istakne. To sljedeći zahtjev pretvara u precizno mjerenje, a ne u optužbu.

Stavi traženo mjerenje u jednu rečenicu. Zatim prestani da pišeš.