Jeden tok, štyri hranice: hľadanie posledného paketu

Jedna strana tvrdí, že prevádzku odoslala; druhá, že nikam nedorazila. Táto dvojica tvrdení znie ako protirečenie a zvyčajne ide len o dve rôzne merania. Počítadlo paketov, log firewallu a snímka prevádzky opisujú rôzne vrstvy, a ich porovnávanie bez označení dá podozrivého namiesto miesta. Postav správu okolo jedného toku a jeho pozorovacích bodov.

Počítadlo bez kontextu dokazuje málo

To, že brána hlási odoslané bajty, nie je dôkaz, že druhý koniec dostal konkrétnu požiadavku. Počítadlo môže zahŕňať iné toky, iné časy alebo inú vrstvu zapuzdrenia. Počítadlo, ktoré rastie, kým cieľ nič nevidí, môže byť stále správne, pretože meralo inú otázku. Pred akýmkoľvek porovnaním urči tok, časové okno a vrstvu.

Dve čísla z rôznych vrstiev sa môžu čestne rozchádzať. Rozpor je začiatok vyšetrovania, nie záver.

Označ každý pozorovací bod

Pri každom pozorovaní zapíš zariadenie, rozhranie alebo háčik, smer, referenciu hodín a to, či zobrazuje vnútornú prevádzku alebo vonkajší transport. Log firewallu na hostiteľovi a snímka na uplinku sú odlišné dôkazy, aj keď ich delia sekundy. Práve označenie umožňuje inému inžinierovi zopakovať ten pohľad.

Drž problém hodín viditeľný. Hodiny sa rozchádzajú a časová značka z jedného hostiteľa nemusí byť priamo porovnateľná s inou. Ak hostiteľov nemožno synchronizovať, ohranič pokus časovými značkami z oboch strán a použi poradie namiesto absolútnej hodnoty. Zapíš nameraný posun namiesto tichého upravovania časov.

Porovnávaj polia, ktoré bod skutočne ukazuje

Porovnávaj adresy a polia protokolu v bodoch, ktoré ich skutočne ukazujú. Zohľadni zámerný preklad, pretože prepísaná n-tica je stále ten istý rozhovor. Pri povolenom teste IPv4 Echo definícia z RFC 792 udáva polia identifikátora a sekvencie, ktoré pomáhajú spárovať požiadavky s odpoveďami. Zachovaj aj adresy a okno, keďže samotná hodnota sekvencie nie je jedinečná identita.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Kde je vonkajšia časť šifrovaná, vedie rozhovor s partnerom a jeho smer v samostatnom zázname. Netreba očakávať, že vnútorný identifikátor Echo prežije vonku v rovnakom tvare. Vonkajšie a vnútorné počty sa nesmú porovnávať bez uvedenia reprezentácie.

Nahlás chýbajúci interval, nie podozrivého

Chýbajúce pozorovanie je obmedzený dôkaz, nie dôkaz, že paket padol na tom zariadení. Filtre, umiestnenie snímky, stratené dáta snímky a okno, ktoré pokus minulo, vytvárajú neúplný záznam. Povedz, čo chýba a medzi ktorými hranicami. Neprítomnosť tiež potrebuje lehotu, preto uveď, ako dlho si pozoroval a čo by sa muselo objaviť.

Tvrdenie druhej strany, že prevádzku preposlala, je kontext, nikdy pozorovanie. Odovzdaj tok, časové značky, označené hranice a jeden úzky príklad. Drž správu dosť krátku, aby vyniklo požadované pozorovanie. To premení ďalšiu požiadavku na presné meranie namiesto obvinenia.

Vlož požadované meranie do jednej vety. Potom prestaň písať.