En tok, štiri meje: iskanje zadnjega paketa

Ena stran trdi, da je promet poslala; druga, da ni prispel nikamor. Ta par izjav zveni kot protislovje, običajno pa gre le za dve različni meritvi. Števec paketov, dnevnik požarnega zidu in zajem opisujejo različne plasti, njihova primerjava brez oznak pa da osumljenca namesto lokacije. Poročilo zgradi okoli enega toka in njegovih opazovalnih točk.

Števec brez konteksta malo dokaže

To, da prehod poroča o poslanih bajtih, ni dokaz, da je drugi konec prejel določeno zahtevo. Števec lahko vključuje druge tokove, druge čase ali drugo plast enkapsulacije. Števec, ki raste, medtem ko cilj ničesar ne vidi, je lahko še vedno pravilen, ker je meril drugo vprašanje. Preden karkoli primerjaš, določi tok, časovno okno in plast.

Dve števili iz različnih plasti se lahko pošteno razhajata. To razhajanje je začetek preiskave, ne sklep.

Označi vsako opazovalno točko

Pri vsakem opazovanju zapiši napravo, vmesnik ali točko prestrezanja, smer, referenco ure in ali prikazuje notranji promet ali zunanji transport. Dnevnik požarnega zidu na gostitelju in zajem na navzgor usmerjeni povezavi sta različna dokaza, tudi ko ju loči le nekaj sekund. Prav oznaka drugemu inženirju omogoči, da pogled ponovi.

Težavo z uro imej na očeh. Ure uhajajo in časovni žig z enega gostitelja morda ni neposredno primerljiv z drugim. Če gostiteljev ni mogoče sinhronizirati, poskus omeji s časovnimi žigi obeh strani in uporabi vrstni red namesto absolutne vrednosti. Zapiši izmerjeni odmik, namesto da bi čase tiho popravljal.

Primerjaj polja, ki jih točka res izpostavi

Primerjaj naslove in protokolarna polja na točkah, ki jih res izpostavijo. Upoštevaj namerno pretvorbo, saj je prepisana n-terica še vedno isti pogovor. Pri dovoljenem preskusu IPv4 Echo opredelitev iz RFC 792 poda polji identifikatorja in zaporedja, ki pomagata uskladiti zahteve in odgovore. Ohrani tudi naslove in okno, ker sama vrednost zaporedja ni edinstvena identiteta.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Kjer je zunanji krak šifriran, vodi pogovor z nasprotnikom in njegovo smer v ločenem zapisu. Ne pričakuj, da bo notranji identifikator Echo zunaj preživel v enaki obliki. Zunanjih in notranjih števnih vrednosti ni dovoljeno primerjati brez navedbe predstavitve.

Poročaj o manjkajočem intervalu, ne o osumljencu

Manjkajoče opazovanje je omejen dokaz, ne dokaz, da je paket padel na tej napravi. Filtri, mesto zajema, izgubljeni podatki zajema in okno, ki je poskus zgrešilo, dajo nepopoln zapis. Povej, kaj manjka in med katerimi mejami. Odsotnost potrebuje tudi rok, zato navedi, kako dolgo si opazoval in kaj bi se moralo pojaviti.

Trditev druge strani, da je promet posredovala, je kontekst, nikoli opazovanje. Izroči tok, časovne žige, označene meje in en ozek primer. Poročilo naj bo dovolj kratko, da zahtevano opazovanje izstopi. To naslednjo zahtevo spremeni v natančno meritev, ne v obtožbo.

Zahtevano meritev ubesedi v enem stavku. Nato prenehaj pisati.