Një rrjedhë, katër kufij: gjetja e paketës së fundit

Njëra palë thotë se e dërgoi trafikun; pala tjetër thotë se nuk arriti askund. Ky çift pohimesh tingëllon si kundërthënie dhe zakonisht janë thjesht dy matje të ndryshme. Një numërim paketash, një regjistër firewall-i dhe një kapje përshkruajnë shtresa të ndryshme, dhe krahasimi i tyre pa etiketa jep një të dyshuar në vend të një vendndodhjeje. Ndërto raportin rreth një rrjedhe dhe pikave të saj të vëzhgimit.

Një numërues pa kontekst provon pak

Fakti që një gateway raporton bajt të dërguar nuk është provë që fundi tjetër mori një kërkesë të caktuar. Numëruesi mund të përfshijë rrjedha të tjera, kohë të tjera ose një shtresë tjetër inkapsulimi. Një numërues që rritet ndërsa destinacioni nuk sheh asgjë mund të jetë ende i saktë, sepse mati një pyetje tjetër. Përpara se të krahasosh çdo gjë, përcakto rrjedhën, dritaren dhe shtresën.

Dy numra nga shtresa të ndryshme mund të mos pajtohen me ndershmëri. Mospajtimi është fillimi i hetimit, jo përfundimi.

Etiketo çdo pikë vëzhgimi

Për çdo vëzhgim, shëno pajisjen, ndërfaqen ose pikën e kapjes, drejtimin, referencën e orës dhe nëse tregon trafikun e brendshëm apo transportin e jashtëm. Një regjistër firewall-i në host dhe një kapje në lidhjen lart janë prova të ndryshme edhe kur i ndajnë sekonda. Etiketa është ajo që lejon një inxhinier tjetër të riprodhojë pamjen.

Mbaje problemin e orës të dukshëm. Orët largohen, dhe një vulë kohore e marrë në një host mund të mos jetë drejtpërdrejt e krahasueshme me një tjetër. Nëse hostet nuk mund të sinkronizohen, kufizo përpjekjen me vula kohore nga të dyja palët dhe përdor renditjen në vend të vlerës absolute. Shëno zhvendosjen e matur në vend që t'i rregullosh kohët në heshtje.

Krahaso fushat që pika i shfaq vërtet

Krahaso adresat dhe fushat e protokollit në pikat që i shfaqin vërtet ato. Merr parasysh përkthimin e qëllimshëm, sepse një tupël i rishkruar është ende i njëjti bisedë. Për një test IPv4 Echo të autorizuar, përkufizimi në RFC 792 jep fusha identifikuesi dhe sekuence që ndihmojnë në përputhjen e kërkesave me përgjigjet. Mbaj edhe adresat dhe dritaren, pasi një vlerë sekuence e vetme nuk është identitet unik.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Kur këmba e jashtme është e kriptuar, mbaj bisedën me palën tjetër dhe drejtimin e saj në një regjistrim të veçantë. Nuk duhet pritur që identifikuesi i brendshëm Echo të mbijetojë jashtë në të njëjtën formë. Numërimet e jashtme dhe të brendshme nuk duhet të krahasohen pa deklaruar përfaqësimin.

Raporto intervalin që mungon, jo një të dyshuar

Një vëzhgim që mungon është provë e kufizuar, jo provë që paketa ra në atë pajisje. Filtrat, vendosja e kapjes, të dhënat e kapjes të humbura dhe një dritare që e humbi përpjekjen prodhojnë të gjitha një regjistrim të paplotë. Thuaj çfarë mungon dhe midis cilave kufij. Mungesa gjithashtu ka nevojë për një afat, prandaj deklaro sa kohë vëzhgove dhe çfarë duhej të shfaqej.

Pohimi i palës tjetër se e përcolli trafikun është kontekst, kurrë vëzhgim. Dorëzo rrjedhën, vulat kohore, kufijtë e etiketuar dhe një shembull të ngushtë. Mbaje raportin aq të shkurtër sa vëzhgimi i kërkuar të dallohet. Kjo e kthen kërkesën tjetër në një matje të saktë, jo në një akuzë.

Vendose matjen e kërkuar në një fjali. Pastaj ndalo së shkruari.