กระแสเดียว สี่พรมแดน: การตามหาจะแพ็กเก็ตสุดท้าย

ฝั่งหนึ่งบอกว่าส่งทราฟฟิกไปแล้ว อีกฝั่งบอกว่าไม่ถึงที่ใดเลย คำกล่าวทั้งสองฟังดูขัดแย้งกัน แต่โดยปกติเป็นเพียงการวัดสองแบบที่ต่างกัน จำนวนแพ็กเก็ต บันทึกไฟร์วอลล์ และแคปเจอร์อธิบายชั้นที่ต่างกัน และการนำมาเปรียบเทียบโดยไม่มีป้ายกำกับก็ได้ผู้ต้องสงสัยแทนที่จะได้ตำแหน่ง จงสร้างรายงานรอบกระแสเดียวและจุดสังเกตของกระแสนั้น

ตัวนับที่ไม่มีบริบทพิสูจน์ได้น้อย

การที่เกตเวย์รายงานไบต์ที่ส่งออกไปไม่ใช่หลักฐานว่าปลายทางได้รับคำขอที่เฉพาะเจาะจง ตัวนับอาจรวมกระแสอื่น เวลาอื่น หรือชั้นห่อหุ้มอื่น ตัวนับที่เพิ่มขึ้นในขณะที่ปลายทางมองไม่เห็นสิ่งใดอาจยังถูกต้อง เพราะมันวัดคำถามอีกข้อ ก่อนจะเปรียบเทียบสิ่งใด จงกำหนดกระแส ช่วงเวลา และชั้นให้ชัด

ตัวเลขสองตัวจากชั้นที่ต่างกันอาจขัดกันอย่างซื่อสัตย์ ความขัดแย้งนั้นคือจุดเริ่มต้นของการสอบสวน ไม่ใช่บทสรุป

ติดป้ายทุกจุดสังเกต

สำหรับการสังเกตแต่ละครั้ง ให้บันทึกอุปกรณ์ อินเทอร์เฟซหรือจุดดัก ทิศทาง หน้าปัดอ้างอิงเวลา และระบุว่าแสดงทราฟฟิกภายในหรือการขนส่งภายนอก บันทึกไฟร์วอลล์บนโฮสต์กับแคปเจอร์บนอัปลิงก์เป็นหลักฐานคนละแบบแม้จะห่างกันเพียงไม่กี่วินาที ป้ายกำกับคือสิ่งที่ทำให้วิศวกรคนอื่นสร้างภาพนั้นซ้ำได้

ทำให้ปัญหาเรื่องเวลามองเห็นได้ นาฬิกาเดินคลาดเคลื่อน และการประทับเวลาบนโฮสต์หนึ่งอาจเทียบกับอีกโฮสต์หนึ่งโดยตรงไม่ได้ หากซิงโครไนซ์โฮสต์ไม่ได้ ให้ล้อมความพยายามด้วยการประทับเวลาจากทั้งสองฝั่งและใช้ลำดับแทนค่าสัมบูรณ์ จดบันทึกค่าความคลาดที่วัดได้แทนการปรับเวลาแบบเงียบ ๆ

เปรียบเทียบฟิลด์ที่จุดนั้นเปิดเผยจริง

เปรียบเทียบที่อยู่และฟิลด์โปรโตคอลที่จุดซึ่งเปิดเผยสิ่งเหล่านั้นจริง พิจารณาการแปลงที่ตั้งใจไว้ เพราะทูเพิลที่ถูกเขียนใหม่ยังเป็นการสนทนาเดิม สำหรับการทดสอบ IPv4 Echo ที่ได้รับอนุญาต นิยามใน RFC 792 ให้ฟิลด์ตัวระบุและลำดับที่ช่วยจับคู่คำขอกับคำตอบ เก็บที่อยู่และช่วงเวลาไว้ด้วย เพราะค่าลำดับเพียงอย่างเดียวไม่ใช่ตัวตนที่ไม่ซ้ำ

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

เมื่อขาภายนอกถูกเข้ารหัส ให้เก็บการสนทนากับคู่และทิศทางไว้ในบันทึกแยก ไม่ควรคาดว่าตัวระบุ Echo ภายในจะคงอยู่ข้างนอกในรูปเดียวกัน จำนวนภายนอกและภายในต้องไม่ถูกนำมาเปรียบเทียบโดยไม่ระบุการแทนค่า

รายงานช่วงที่หายไป ไม่ใช่ผู้ต้องสงสัย

การสังเกตที่หายไปเป็นหลักฐานที่มีขอบเขต ไม่ใช่ข้อพิสูจน์ว่าแพ็กเก็ตตกที่อุปกรณ์นั้น ตัวกรอง ตำแหน่งการเก็บแคปเจอร์ ข้อมูลแคปเจอร์ที่สูญหาย และหน้าต่างเวลาที่พลาดความพยายาม ล้วนทำให้บันทึกไม่สมบูรณ์ จงบอกว่าอะไรหายไปและระหว่างขอบเขตใด การไม่มีอยู่ก็ต้องมีวันหมดอายุ ดังนั้นระบุว่าเฝ้าสังเกตนานเท่าใดและอะไรควรจะปรากฏ

ข้อกล่าวอ้างของอีกฝั่งว่าได้ส่งต่อทราฟฟิกเป็นบริบท ไม่ใช่การสังเกตเลย ส่งมอบกระแส การประทับเวลา ขอบเขตที่ติดป้าย และตัวอย่างแคบ ๆ หนึ่งรายการ รักษารายงานให้สั้นพอที่การสังเกตที่ขอจะเด่นชัด นั่นทำให้คำขอถัดไปเป็นการวัดที่แม่นยำแทนข้อกล่าวหา

ใส่การวัดที่ขอไว้ในประโยคเดียว แล้วหยุดเขียน