Isang daloy, apat na hangganan: paghahanap sa huling pakete

Sinasabi ng isang panig na ipinadala nito ang trapiko; sinasabi ng kabila na hindi ito nakarating kahit saan. Ang dalawang pahayag ay parang magkasalungat at kadalasan ay dalawang magkaibang pagsukat lamang. Ang bilang ng pakete, log ng firewall at pagkuha ay naglalarawan ng magkaibang patong, at ang paghahambing sa mga ito nang walang etiketa ay nagbibigay ng pinaghihinalaan sa halip na lokasyon. Buuin ang ulat sa paligid ng isang daloy at ng mga punto ng pagmamasid nito.

Maliit lang ang naipapatunay ng kontador na walang konteksto

Ang pag-uulat ng gateway ng mga naipadalang byte ay hindi patunay na natanggap ng kabilang dulo ang isang partikular na kahilingan. Maaaring kasama sa kontador ang ibang daloy, ibang oras o ibang patong ng encapsulation. Ang kontador na tumataas habang walang nakikita ang destinasyon ay maaari pa ring tama, dahil ibang tanong ang sinukat nito. Bago maghambing ng anuman, itakda ang daloy, ang bintana ng panahon at ang patong.

Dalawang bilang mula sa magkaibang patong ay maaaring tapat na magkasalungat. Ang pagkakasalungat ay simula ng pagsisiyasat, hindi konklusyon.

Lagyan ng etiketa ang bawat punto ng pagmamasid

Para sa bawat obserbasyon, itala ang aparato, ang interface o sabitan, ang direksyon, ang sanggunian ng orasan at kung panloob na trapiko o panlabas na transportasyon ang ipinapakita. Ang log ng firewall sa host at ang pagkuha sa uplink ay magkaibang ebidensya kahit ilang segundo lang ang pagitan. Ang etiketa ang nagbibigay-daan sa ibang inhinyero na muling buuin ang tanawing iyon.

Panatilihing nakikita ang problema sa orasan. Nag-iiba ang mga orasan, at ang tatak ng oras mula sa isang host ay maaaring hindi direktang maihambing sa isa pa. Kung hindi maisabay ang mga host, balutin ang pagtatangka ng mga tatak ng oras mula sa magkabilang panig at gamitin ang pagkakasunod-sunod sa halip na ang ganap na halaga. Itala ang sinusukat na paglihis sa halip na tahimik na ayusin ang mga oras.

Ihambing ang mga field na talagang inilalantad ng punto

Ihambing ang mga address at field ng protocol sa mga puntong talagang naglalantad sa mga ito. Isaalang-alang ang sinadyang pagsasalin, dahil ang muling naisulat na tuple ay parehong usapan pa rin. Para sa awtorisadong pagsubok na IPv4 Echo, ang depinisyon sa RFC 792 ay nagbibigay ng field ng identifier at sequence na tumutulong itugma ang mga kahilingan at tugon. Panatilihin din ang mga address at ang bintana, dahil ang halaga ng sequence lamang ay hindi natatanging pagkakakilanlan.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Kung saan naka-encrypt ang panlabas na binti, itago ang usapan sa kapares at ang direksyon nito sa hiwalay na talaan. Hindi dapat asahan na ang panloob na identifier ng Echo ay mananatili sa labas sa parehong anyo. Ang panlabas at panloob na bilang ay hindi dapat ihambing nang hindi sinasabi ang representasyon.

Iulat ang kulang na agwat, hindi ang pinaghihinalaan

Ang kulang na obserbasyon ay limitadong ebidensya, hindi patunay na nahulog ang pakete sa aparatong iyon. Ang mga filter, ang lugar ng pagkuha, ang nawalang datos ng pagkuha at ang bintanang hindi naabot ang pagtatangka ay lahat gumagawa ng kulang na talaan. Sabihin kung ano ang kulang at sa pagitan ng aling hangganan. Kailangan din ng kawalan ang isang takda, kaya sabihin kung gaano katagal kang nagmasid at ano ang dapat na lumitaw.

Ang pahayag ng kabila na ipinasa nito ang trapiko ay konteksto, hindi kailanman obserbasyon. Iabot ang daloy, ang mga tatak ng oras, ang may etiketang hangganan at isang makitid na halimbawa. Panatilihing maikli ang ulat upang lumitaw ang hinihinging obserbasyon. Ginagawa nitong tumpak na pagsukat ang susunod na kahilingan sa halip na paratang.

Ilagay sa isang pangungusap ang hinihinging pagsukat. Pagkatapos ay tumigil sa pagsulat.