Một luồng, bốn ranh giới: tìm gói tin cuối cùng

Một bên nói đã gửi lưu lượng; bên kia nói nó không đến được đâu. Hai câu này nghe như mâu thuẫn nhưng thường chỉ là hai phép đo khác nhau. Số đếm gói tin, nhật ký tường lửa và bản ghi bắt gói mô tả các tầng khác nhau, và so sánh chúng mà không có nhãn sẽ cho ra một nghi phạm thay vì một vị trí. Hãy xây báo cáo quanh một luồng và các điểm quan sát của nó.

Bộ đếm thiếu ngữ cảnh chứng minh được rất ít

Việc cổng kết nối báo cáo số byte đã gửi không phải bằng chứng rằng đầu bên kia đã nhận một yêu cầu cụ thể. Bộ đếm có thể bao gồm các luồng khác, thời điểm khác hoặc tầng đóng gói khác. Một bộ đếm tăng lên trong khi đích không thấy gì vẫn có thể đúng, vì nó đo một câu hỏi khác. Trước khi so sánh bất cứ điều gì, hãy cố định luồng, cửa sổ thời gian và tầng.

Hai con số từ các tầng khác nhau có thể bất đồng một cách trung thực. Sự bất đồng đó là khởi đầu của cuộc điều tra, không phải kết luận.

Gắn nhãn cho từng điểm quan sát

Với mỗi quan sát, hãy ghi lại thiết bị, giao diện hoặc điểm móc, hướng, tham chiếu đồng hồ và việc nó hiển thị lưu lượng bên trong hay vận chuyển bên ngoài. Nhật ký tường lửa trên máy chủ và bản ghi bắt gói trên đường lên là bằng chứng khác nhau dù chỉ cách nhau vài giây. Nhãn chính là thứ cho phép một kỹ sư khác tái tạo lại góc nhìn đó.

Hãy để vấn đề đồng hồ hiện rõ. Đồng hồ bị trôi, và một mốc thời gian lấy trên máy này có thể không so sánh trực tiếp được với máy khác. Nếu không thể đồng bộ các máy, hãy bao quanh lần thử bằng mốc thời gian từ cả hai phía và dùng thứ tự thay vì giá trị tuyệt đối. Ghi lại độ lệch đo được thay vì lặng lẽ chỉnh thời gian.

So sánh những trường mà điểm đó thực sự bộc lộ

So sánh địa chỉ và trường giao thức tại những điểm thực sự bộc lộ chúng. Tính đến việc biên dịch có chủ đích, vì một bộ giá trị được viết lại vẫn là cùng một cuộc trò chuyện. Với một thử nghiệm IPv4 Echo được cho phép, định nghĩa trong RFC 792 cung cấp các trường định danh và thứ tự giúp khớp yêu cầu với phản hồi. Cũng giữ lại địa chỉ và cửa sổ, vì chỉ một giá trị thứ tự không phải là định danh duy nhất.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Nơi chặng ngoài được mã hóa, hãy giữ cuộc trò chuyện với đối tác và hướng của nó trong một bản ghi riêng. Không nên kỳ vọng định danh Echo bên trong sẽ tồn tại ở bên ngoài với cùng hình dạng. Số đếm bên ngoài và bên trong không được so sánh mà không nêu rõ cách biểu diễn.

Báo cáo khoảng trống bị thiếu, không phải một nghi phạm

Một quan sát bị thiếu là bằng chứng có giới hạn, không phải bằng chứng rằng gói tin bị rơi tại thiết bị đó. Bộ lọc, vị trí đặt bản ghi, dữ liệu bắt gói bị mất và một cửa sổ bỏ lỡ lần thử đều tạo ra bản ghi không đầy đủ. Hãy nói rõ cái gì thiếu và giữa những ranh giới nào. Sự vắng mặt cũng cần một hạn, nên hãy nêu đã quan sát bao lâu và lẽ ra phải xuất hiện cái gì.

Khẳng định của phía bên kia rằng đã chuyển tiếp lưu lượng là ngữ cảnh, không bao giờ là quan sát. Hãy bàn giao luồng, các mốc thời gian, các ranh giới đã gắn nhãn và một ví dụ hẹp. Giữ báo cáo đủ ngắn để quan sát được yêu cầu nổi bật. Điều đó biến yêu cầu tiếp theo thành một phép đo chính xác thay vì một lời buộc tội.

Đặt phép đo được yêu cầu vào một câu. Sau đó ngừng viết.