Tek akış, dört sınır: son paketi bulmak

Bir taraf trafiği gönderdiğini söylüyor; diğeri hiçbir yere ulaşmadığını söylüyor. Bu iki ifade çelişki gibi görünür ama genellikle iki farklı ölçümdür. Paket sayımı, güvenlik duvarı günlüğü ve yakalama farklı katmanları tanımlar, bunları etiketsiz karşılaştırmak ise konum yerine bir şüpheli verir. Raporu tek bir akış ve onun gözlem noktaları etrafında kurun.

Bağlamı olmayan bir sayaç az şey kanıtlar

Bir ağ geçidinin gönderilen baytları bildirmesi, karşı ucun belirli bir isteği aldığının kanıtı değildir. Sayaç başka akışları, başka zamanları veya başka bir kapsülleme katmanını içerebilir. Hedef hiçbir şey görmezken artan bir sayaç yine de doğru olabilir, çünkü başka bir soruyu ölçmüştür. Herhangi bir şeyi karşılaştırmadan önce akışı, zaman penceresini ve katmanı sabitleyin.

Farklı katmanlardan iki sayı dürüstçe uyuşmayabilir. Bu uyuşmazlık soruşturmanın başlangıcıdır, sonucu değil.

Her gözlem noktasını etiketleyin

Her gözlem için cihazı, arayüzü veya kancayı, yönü, saat referansını ve iç trafiği mi yoksa dış taşımayı mı gösterdiğini kaydedin. Ana makinedeki güvenlik duvarı günlüğü ile uplink üzerindeki yakalama, aralarında saniyeler olsa bile farklı kanıtlardır. Etiket, başka bir mühendisin bu görünümü yeniden üretmesini sağlayan şeydir.

Saat sorununu görünür tutun. Saatler kayar ve bir ana makinede alınan zaman damgası diğeriyle doğrudan karşılaştırılabilir olmayabilir. Ana makineler eşitlenemiyorsa denemeyi her iki tarafın zaman damgalarıyla sınırlayın ve mutlak değer yerine sıralamayı kullanın. Zamanları sessizce düzeltmek yerine ölçtüğünüz sapmayı not edin.

Noktanın gerçekten açığa çıkardığı alanları karşılaştırın

Adresleri ve protokol alanlarını bunları gerçekten açığa çıkaran noktalarda karşılaştırın. Kasıtlı çeviriyi hesaba katın, çünkü yeniden yazılmış bir demet hâlâ aynı konuşmadır. Yetkili bir IPv4 Echo testi için, RFC 792 tanımı istekleri ve yanıtları eşleştirmeye yardımcı olan tanımlayıcı ve dizi alanlarını verir. Adresleri ve pencereyi de koruyun, çünkü tek başına bir dizi değeri benzersiz bir kimlik değildir.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Dış bacağın şifrelendiği yerde, karşı taraf konuşmasını ve yönünü ayrı bir kayıtta tutun. İç Echo tanımlayıcısının dışarıda aynı biçimde kalması beklenmemelidir. Dış ve iç sayımlar, temsil belirtilmeden karşılaştırılmamalıdır.

Şüpheliyi değil, eksik aralığı bildirin

Eksik bir gözlem sınırlı kanıttır, paketin o cihazda düştüğünün kanıtı değildir. Filtreler, yakalamanın yeri, kaybolan yakalama verisi ve denemeyi kaçıran bir pencere, hepsi eksik bir kayıt üretir. Neyin eksik olduğunu ve hangi sınırlar arasında olduğunu söyleyin. Yokluğun da bir son kullanma tarihi olmalı, bu yüzden ne kadar süre gözlemlediğinizi ve neyin görünmesi gerektiğini belirtin.

Diğer tarafın trafiği ilettiği iddiası bağlamdır, asla gözlem değildir. Akışı, zaman damgalarını, etiketlenmiş sınırları ve dar bir örneği teslim edin. Raporu, istenen gözlem öne çıkacak kadar kısa tutun. Bu, bir sonraki isteği suçlama yerine kesin bir ölçüme dönüştürür.

İstenen ölçümü tek bir cümleye koyun. Sonra yazmayı bırakın.