Један ток, четири границе: проналажење последњег пакета

Једна страна тврди да је послала саобраћај; друга да нигде није стигао. Тај пар изјава звучи као противречност, а обично су то само два различита мерења. Бројање пакета, дневник заштитног зида и снимак описују различите слојеве, а њихово поређење без ознака даје осумњиченог уместо локације. Сагради извештај око једног тока и његових тачака посматрања.

Бројач без контекста мало доказује

То што мрежни пролаз пријављује послате бајтове није доказ да је супротна страна примила одређени захтев. Бројач може обухватати друге токове, друга времена или други слој инкапсулације. Бројач који расте док одредиште ништа не види и даље може бити исправан, јер је мерио друго питање. Пре било каквог поређења утврди ток, временски прозор и слој.

Два броја из различитих слојева могу се искрено не слагати. Неслагање је почетак истраге, а не закључак.

Означи сваку тачку посматрања

За свако посматрање забележи уређај, интерфејс или тачку пресретања, смер, референцу сата и то да ли приказује унутрашњи саобраћај или спољашњи транспорт. Дневник заштитног зида на хосту и снимак на узлазном линку различити су докази чак и када их дели неколико секунди. Ознака је оно што другом инжењеру омогућава да понови тај приказ.

Држи проблем сата видљивим. Сатови одступају, а временска ознака узета на једном хосту можда није директно упоредива с другом. Ако се хостови не могу синхронизовати, уоквири покушај ознакама са обе стране и користи редослед уместо апсолутне вредности. Забележи измерени помак уместо да тихо подешаваш времена.

Упоређуј поља која тачка заиста излаже

Упоређуј адресе и поља протокола на тачкама које их заиста излажу. Узми у обзир намерно превођење, јер је преписана торка и даље исти разговор. За одобрени IPv4 Echo тест, дефиниција из RFC 792 даје поља идентификатора и секвенце која помажу да се захтеви и одговори споје. Сачувај и адресе и прозор, јер сама вредност секвенце није јединствени идентитет.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Где је спољашња деоница шифрована, води разговор са паром и његов смер у одвојеном запису. Не треба очекивати да ће унутрашњи Echo идентификатор преживети у истом облику споља. Спољашња и унутрашња бројања не смеју се поредити без навођења репрезентације.

Пријави интервал који недостаје, а не осумњиченог

Посматрање које недостаје ограничен је доказ, а не доказ да је пакет пао на том уређају. Филтери, место снимања, изгубљени подаци снимка и прозор који је пропустио покушај дају непотпуни запис. Реци шта недостаје и између којих граница. Одсуство такође тражи рок, па наведи колико дуго си посматрао и шта би морало да се појави.

Тврдња друге стране да је проследила саобраћај јесте контекст, никада посматрање. Предај ток, временске ознаке, означене границе и један узак пример. Нека извештај буде довољно кратак да се тражено посматрање истакне. То следећи захтев претвара у прецизно мерење, а не у оптужбу.

Стави тражено мерење у једну реченицу. Затим престани да пишеш.