Artan Drop Sayacının Kaynağını Bulmak

İzleme sisteminde bir uyarı çıkar. Arayüzde düşen paket sayısı artıyor.

Bu cümle bir teşhis değildir. Altı ayrı sebep aynı sayaca yansıyabilir; fiziksel katman hatasından politika kararına, kuyruk taşmasından yönlendirme eksikliğine kadar uzanan bu sebeplerin çözümleri birbirine hiç benzemez.

Adım 1. Sayacı Ayrıştırın

İlk kontrol edilecek şey, sayacın sebep bazında tutulup tutulmadığıdır.

Pek çok izleme kurulumu yalnız toplam düşüş sayısını toplar. Bu sayı arttığında yapılabilecek tek şey tahmin yürütmektir.

Cihaz üzerindeki ayrıntılı sayaçlar genellikle vardır ama izleme sistemine alınmamıştır. Ayrıştırma yapılmadan atılan her adım, yanlış katmanda vakit harcamayla sonuçlanır.

Adım 2. Arayüz Katmanını Eleyin

En alt katmandan başlanır çünkü buradaki bir sorun yukarıdaki her şeyi taklit eder.

Bakılacaklar: çerçeve hataları, sağlama toplamı hataları, boyut ihlalleri, geç çarpışmalar ve çift yönlü uyumsuzluğu.

Çift yönlü uyumsuzluğu özellikle sinsidir. Bağlantı çalışır, düşük yükte sorun görünmez, yük arttıkça düşüş oranı yükselir. İki uçtaki ayarların birbirini tuttuğu doğrulanmalıdır.

Fiziksel katmanda bulgu varsa inceleme burada durur; üst katmandaki sayılar bunun sonucudur.

Adım 3. Politika Kaynaklı Olanları Ayırın

Kural gereği reddedilen paketler de düşürülür ve aynı sayaca yansıyabilir.

Bunlar bir arıza değildir. Güvenlik duvarının işi budur ve sayının yüksek olması beklenen bir durumdur.

Ayrıştırma yapıldığında ortaya çıkan tablo genellikle şudur: düşüşün büyük kısmı politika kaynaklıdır ve alarm boşuna çalmıştır. Eşik, bu sınıf dışarıda bırakılarak yeniden konur.

Yine de bir kontrol yapılır. Reddedilen trafiğin kaynağı ve hedefi incelendiğinde, yanlış yapılandırılmış bir iç sistem ya da yeni bir tarama etkinliği görülebilir.

Adım 4. Kaynak Sınırlarını Kontrol Edin

Cihazın kendi sınırlarına dayanmış olması, en sık gözden kaçan sebeptir.

Oturum tablosu doluluğu. Tablo dolduğunda yeni bağlantı kabul edilemez ve reddedilen trafiğin meşru olup olmadığına bakılmaz.

Saniyedeki yeni bağlantı. Tablo yarı boşken de bu sınır tükenebilir. Belirti tanıdıktır: açık oturumlar çalışır, yeni bağlantı kurulamaz.

Kuyruk derinliği. Ortalama trafik kapasitenin çok altındayken de görülebilir. Kısa süreli patlamalar ortalamada görünmez ama kuyruğu doldurur.

Son madde, ölçüm sıklığıyla doğrudan ilgilidir. Beş dakikalık ortalamalarla izlenen bir arayüzde, otuz saniyelik bir patlama grafikte küçük bir yükselti olarak kalır.

Adım 5. Modül Davranışını İnceleyin

Saldırı önleme, uygulama tanıma ve içerik denetimi modülleri kendi kararlarıyla paket düşürür.

Bu düşüşler ayrı okunmalıdır. Bir imza güncellemesinden sonra artan düşüş sayısı, yeni bir yanlış pozitif sınıfına işaret eder.

Modüllerin toplam performansa etkisi de burada değerlendirilir; ayrıntısı modüller açıkken yavaşlama yazısındadır.

Adım 6. Yönlendirmeyi Doğrulayın

Cihaz logunda aranacak belirli bir ifade vardır: mevcut oturuma ait olmayan paket.

Bu kayıt görülüyorsa sebep büyük olasılıkla asimetrik yönlendirmedir. Cihaz bağlantının yalnız bir yönünü görüyor ve diğer yöndeki paketleri eşleştiremiyordur.

Bu sınıfın belirtisi kısmi arızadır: bazı bağlantılar çalışır, bazıları çalışmaz, sorun günün belirli saatlerinde ortaya çıkar.

Yönlendirme tablosunda hedef bulunamadığı için düşen paketler ise ayrı bir sayaçtadır ve genellikle yapılandırma eksikliğine işaret eder.

Eşik Nereden Gelir

Bütün bu ayrıştırma yapıldıktan sonra bile “kaç düşüş normaldir” sorusunun evrensel bir cevabı yoktur.

Cevap temel ölçülerden çıkar. Sebep bazında sayaçlar birkaç hafta izlenir, her sınıfın olağan aralığı belirlenir ve eşikler o aralığın üstüne konur.

Taban çıkarılmadan konan bir eşik ya sürekli alarm üretip kapatılır, ya da hiç tetiklenmez. İki sonuç da aynı kapıya çıkar: izleme sistemi o arayüz için işlevsizdir.