ملف الالتقاط أنيق. الحزم المفقودة لم توقّع عليه.

الخلاصة

• نشر RFC 1761 صيغة ملفات Snoop الإصدار الثاني التي طورتها Sun، كي تستطيع برامج أخرى إنشاء الالتقاط وقراءته بعد جمعه.
• تفصل كل سجيلة بين طول الحزمة عند استقبالها وطول الجزء المحفوظ؛ وقد يكتب نظام الالتقاط صفراً في خانة الفقد لأنه لا يستطيع عدّ الحزم التي أفلتت منه.

ثمة لحظة جذابة في كل مراجعة تقنية: يفتح أحدهم ملف التقاط الحزم، فتظهر الأوقات والبايتات في صفوف مستقيمة. يبدو الخلاف قابلاً للحسم. في فبراير 1995، وصف Brent Callaghan وRobert Gilligan صيغة Snoop التابعة لـSun في RFC 1761، حتى لا تبقى قراءة الملف حكراً على البرنامج الذي أنشأه. فصل الجمع عن التحليل مكسب حقيقي. غير أن الملف المرتب لا يجمع كل ما مرّ بالشبكة لمجرد أنه مرتب؛ والصيغة نفسها تسجل أسباب الحذر.

تبدأ الملفات برأس ثابت من ستة عشر ثمانية. الثمانية الأولى هي كلمة snoop بحروف صغيرة تتبعها ثلاثة ثمانيات صفرية. يليها رقم الإصدار 2 في أربعة ثمانيات، ثم نوع وصلة البيانات في أربعة أخرى. لــEthernet الرمز 4، ولــIEEE 802.3 الرمز 0. ليست هذه الزينة محض تصنيف: بيانات كل حزمة تبدأ برأس طبقة الوصلة، وعلى القارئ معرفة نوعه ليفسر البايتات التالية. تضم القائمة أيضاً Token Ring وHDLC وFDDI. جميع الأعداد الصحيحة تُكتب بالثماني الأعلى أهمية أولاً.

بعد الرأس تأتي سجلات حزم متفاوتة الطول. لكل سجيلة مقدمة من ستة أعداد ذات 32 بت، أي أربعة وعشرين ثمانية. الأول يحدد الطول الأصلي للحزمة عند استقبالها من الشبكة، والثاني الطول المدرج في الملف. إذا كان الثاني أصغر، فقد اقتُطع جزء أثناء الحفظ. رؤية رأس بروتوكول واضح على الشاشة لا تعيد ذيل الحزمة الذي لم يُخزّن. تلك فجوة معلنة، لا عيب في خيال المحلل.

العدد الثالث هو طول السجيلة بأكملها: المقدمة والبيانات المحفوظة وأي حشو يلزم للمحاذاة. بفضله يصل البرنامج إلى بداية السجيلة التالية. الخلط بينه وبين طول البيانات قد يجعل الحشو يبدو جزءاً من الحزمة، أو يزيح القراءة إلى بايتات السجيلة التالية. التوافق الذي أراده RFC يقوم على حدود دقيقة وترتيب بايتات محدد؛ بدونهما قد يفتح برنامجان الملف نفسه ويخرجان بقصتين مختلفتين.

العدد الرابع أكثرها إثارة للمتاعب: مجموع الحزم التي فقدها نظام الالتقاط منذ أول سجيلة حتى السجيلة الحالية. ينبه النص إلى أن بعض التطبيقات لا تملك وسيلة لعدّ الفقد وقد تضع القيمة صفراً. الصفر هنا يحتاج إلى سيرة ذاتية: هل عُدّت الحزم ولم تُفقد، أم لم يكن هناك عدّاد أصلاً؟ كما أن هذا الحقل يتحدث عن جهاز الجمع، ولا يثبت وصول الحزمة إلى التطبيق المقصود. من السهل أن يحول اجتماع متعجل صفراً مجهول المصدر إلى يقين أنيق.

العددان الأخيران يصفان وقت وصول الحزمة بالثواني منذ أول يناير 1970 وبالميكروثواني. يساعدان على ترتيب ما نجا إلى الملف. أما سبب عطل الخدمة ونتيجة التسليم عند الطرف الآخر فيحتاجان إلى سجل مختلف. أهمية RFC 1761 التاريخية أنه أتاح تبادل دليل قابل للقراءة، وترك على الدليل نفسه تعليمات تكشف أين انقطع صوته.