Kiểm thử timestamp PCAP qua TAP, NPB và collector: độ chính xác, thứ tự gói và packet loss

Trước hết phải trả lời timestamp biểu diễn thời điểm nào: frame tới cổng giám sát, NIC nhận frame, kernel giao packet hay ứng dụng đọc buffer. Các mốc này không tương đương. Timestamp phần cứng thường gần wire hơn nhưng vẫn cần biết clock source, correction và driver; timestamp phần mềm chịu scheduling, batching và tải CPU.

Câu hỏi thứ hai là PCAP dùng để làm gì. Xác định packet order trong một flow có yêu cầu khác với đo one-way latency giữa hai probe. Điều tra retransmission có thể chấp nhận sai số lớn hơn đo microburst. Pass/fail phải xuất phát từ use case, không từ số chữ số thập phân hiển thị trong Wireshark.

Topology tối thiểu gồm traffic generator hai cổng có sequence number và transmit timestamp tham chiếu, DUT hoặc đường dây thụ động, TAP, NPB, hai capture collector độc lập và nguồn đồng bộ PTP/NTP tùy mục tiêu. Một đường bypass tham chiếu nối generator trực tiếp collector giúp tách lỗi capture khỏi DUT/NPB. Nếu đo nhiều điểm, mọi probe phải ghi clock source và trạng thái lock.

Chạy baseline ở lưu lượng thấp trước, sau đó quét packet rate, frame size, burst và số cổng hội tụ. Capture cả ingress lẫn egress khi có thể. Generator phải xuất manifest số gói, thứ tự, timestamp và flow ID; collector ghi NIC counters, kernel drops, application drops, ring occupancy, CPU, memory, disk latency và file rotation.

Khóa model TAP/NPB/NIC, firmware, link speed, FEC, breakout, timestamp mode, precision microsecond/nanosecond, clock source, PTP profile, IRQ affinity, RSS, ring size, snap length, filter, buffer, compression và file rotation. Ghi rõ NPB có aggregation, replication, filtering, slicing, deduplication hay tunnel encapsulation; mỗi xử lý có thể thay đổi lưu lượng đến collector.

Traffic profile cần có frame nhỏ để ép PPS, IMIX, jumbo, unicast/multicast, burst ngắn, nhiều flow và cùng-flow có sequence marker. Kiểm tra cả steady state lẫn transition: PTP mất lock, NPB failover, collector rotation, disk gần đầy và process restart. Không thay clock mode cùng lúc với filter hoặc ring size nếu muốn khoanh vùng nguyên nhân.

Đo accuracy so với timestamp tham chiếu, precision được lưu, offset giữa probe, drift theo thời gian, inter-packet gap error, out-of-order rate, capture loss và duplicate. Độ phân giải danh nghĩa một nanosecond không chứng minh độ chính xác một nanosecond; cần phân phối error p50/p95/p99/max và trạng thái clock tại đúng cửa sổ đo.

Bằng chứng bắt buộc gồm cấu hình capture, phiên bản, pcapng interface metadata nếu dùng, clock state, log và counters trước–sau. Nếu packet bị mất, phải chỉ ra tầng có dấu hiệu đầu tiên: NPB egress, NIC, kernel socket, ứng dụng hay storage.

Chênh lệch timestamp của cùng gói ở hai vị trí còn chứa thời gian truyền và xử lý giữa các vị trí. Muốn kết luận clock offset phải hiệu chuẩn hoặc loại trừ phần này và nêu uncertainty. Gói mất trên đường trước điểm quan sát không được tự quy thành capture loss; cần xét filter, slicing và replication của NPB.

• KPI: Timestamp error · Cách đo: Capture time trừ reference time sau hiệu chỉnh độ trễ đường đo · Bằng chứng: PCAP + generator manifest
• KPI: Inter-probe offset · Cách đo: Cùng sequence ID tại hai probe · Bằng chứng: Hai PCAP đã căn clock
• KPI: Drift · Cách đo: Độ dốc offset theo thời gian · Bằng chứng: Time series + PTP/NTP status
• KPI: Capture loss · Cách đo: Sequence ID thiếu / số gói kỳ vọng tại điểm capture sau filter/replication · Bằng chứng: Manifest, NIC/kernel/app counters
• KPI: Reordering · Cách đo: Sequence đảo ngoài kỳ vọng · Bằng chứng: Flow-level analysis
• KPI: Duplicate · Cách đo: Sequence lặp ngoài replication rule · Bằng chứng: PCAP + cấu hình NPB
• KPI: Write headroom · Cách đo: Peak ingest so với disk throughput · Bằng chứng: Storage latency/queue metrics

Một collector có thể pass cho troubleshooting best-effort nhưng fail cho đo one-way latency. Tương tự, PCAP đủ packet nhưng timestamp phần mềm bị batching vẫn không phù hợp để kết luận jitter mức microsecond.

• Use case: Điều tra packet order · Điều cần chứng minh: Thứ tự trong cùng flow ổn định · Failure mode quan trọng: Aggregation đổi thứ tự
• Use case: Đo one-way latency · Điều cần chứng minh: Hai probe cùng miền thời gian · Failure mode quan trọng: Offset/drift bị hiểu thành latency
• Use case: Phát hiện microburst · Điều cần chứng minh: Không drop ở peak PPS · Failure mode quan trọng: Ring/kernel overflow
• Use case: Forensics · Điều cần chứng minh: Chuỗi file đầy đủ, hash và clock log · Failure mode quan trọng: Rotation gap, file sửa đổi
• Use case: VoIP/video · Điều cần chứng minh: Gap và jitter đủ tin cậy · Failure mode quan trọng: Timestamp batching
• Use case: Security analytics · Điều cần chứng minh: Packet/payload không bị slice sai · Failure mode quan trọng: Filter/dedup che dấu sự kiện

Pha A đồng bộ đồng hồ, lưu trạng thái và chạy đường tham chiếu ở tải thấp. Pha B quét frame size/PPS không qua NPB để tìm capacity collector. Pha C thêm TAP và NPB từng lớp; so sequence, timestamp error và loss delta. Pha D bật từng chức năng NPB như filter, replication, slicing hoặc aggregation.

Pha E tạo burst từ vài chục microsecond đến nhiều giây, tăng số flow và xoay file. Pha F chèn mất PTP, clock step/slew, NPB switchover, link flap, process restart và storage congestion. Pha G phục hồi, đối soát tất cả file, kiểm time continuity, hash và cảnh báo. Mỗi lượt lặp ít nhất ba lần nếu dùng cho nghiệm thu.

• Ghi rõ timestamp hardware/software và điểm đóng dấu.
• Lưu clock source, PTP/NTP state, offset và holdover.
• Có generator manifest với sequence ID và số gói đã phát.
• Chạy baseline trực tiếp trước khi thêm TAP/NPB.
• Quét PPS, frame size, burst, flow count và port aggregation.
• Đối soát NIC, kernel, application và storage drops.
• Thử filter, replication, slicing, dedup và failover riêng lẻ.
• Kiểm file rotation, snap length, precision và interface metadata.
• Chèn clock loss/step, process restart và disk congestion.
• Hash file, lưu cấu hình và timeline theo cùng run ID.

Kết quả chỉ đúng cho NIC, driver, kernel, capture library, NPB firmware, storage và traffic profile đã kiểm. Không suy độ chính xác từ precision trường timestamp. Đồng bộ PTP tốt ở trạng thái ổn định không chứng minh timeline đúng trong holdover hoặc lúc clock servo hiệu chỉnh.

PCAP cũng không tự chứng minh packet đã đi qua production path nếu điểm lấy mẫu đặt sai. TAP quang/đồng, SPAN và virtual tap có đặc tính khác nhau. Nội dung capture có thể nhạy cảm; cần data minimization, access control, retention và payload tổng hợp trong lab.

• Timestamp precision: số bước biểu diễn thời gian; không đồng nghĩa accuracy.
• Timestamp accuracy: độ gần với thời điểm tham chiếu thực.
• Clock offset: chênh lệch tức thời giữa hai đồng hồ.
• Clock drift: thay đổi offset theo thời gian.
• Hardware timestamp: timestamp do NIC/PHY hoặc phần cứng gần wire tạo.
• Capture loss: packet tới điểm quan sát nhưng không có trong file.
• Snap length: số byte tối đa lưu cho mỗi packet.
• Packet reordering: thứ tự quan sát khác thứ tự phát hoặc đường đi kỳ vọng.