Quand la capture est justifiée
Pas en premier. Une capture réseau est l'outil du cas où les vérifications ordinaires n'ont rien donné et où le comportement reste inexplicable.
Elle répond bien à quatre questions : le paquet part-il vraiment, arrive-t-il, qui répond, et que répond-il. Elle répond mal à « pourquoi c'est lent », question qui se traite souvent par des mesures plus simples.
Capturer au bon endroit
C'est le point qui décide de tout, avant même les filtres.
Capturer sur le poste dit ce que le poste émet et reçoit. Capturer sur le serveur dit ce qui lui arrive. La comparaison des deux localise la perte : si le paquet part et n'arrive pas, l'équipement fautif est entre les deux, et vous venez de diviser le champ de recherche.
Sur un commutateur, il faut recopier le trafic d'un port vers un port d'analyse. Sans cette configuration, vous ne verrez que le trafic diffusé, ce qui explique les captures étrangement vides.
Filtrer à la capture, pas seulement à l'affichage
Deux moments de filtrage, souvent confondus.
À la capture : vous décidez ce qui est enregistré. Sur un lien chargé, capturer tout produit des gigaoctets en quelques minutes et sature le disque de la machine d'analyse.
À l'affichage : vous décidez ce que vous regardez dans ce qui a été enregistré.
En pratique, filtrez à la capture sur les deux adresses concernées et le port applicatif, puis affinez à l'affichage.
Ce qu'on cherche, dans l'ordre
La demande de connexion existe-t-elle ? Si le poste n'émet rien, le problème est sur le poste et non sur le réseau.
Est-elle acceptée ? Une acceptation immédiate indique un service qui écoute. Un refus explicite indique un service absent ou un blocage local. Le silence indique un filtrage en chemin, et c'est la distinction la plus utile de toute cette leçon : refus et silence n'ont pas la même cause.
Y a-t-il des retransmissions ? Beaucoup de retransmissions signalent de la perte, donc un lien saturé ou un équipement en difficulté.
Qui coupe la conversation ? La fermeture ou la réinitialisation vient d'un côté précis. Savoir lequel désigne le responsable.
Deux pièges
Le chiffrement. Le contenu applicatif n'est plus lisible, ce qui est souhaitable. Vous voyez encore l'établissement de session, les adresses et les temps, ce qui suffit à la plupart des diagnostics réseau.
Les données personnelles. Une capture contient du trafic réel, parfois des identifiants ou des données de santé. Elle se stocke comme un fichier sensible, se partage avec précaution, et se supprime une fois le diagnostic terminé.
À retenir
Capturez aux deux extrémités pour localiser la perte, filtrez dès la capture, et distinguez le refus du silence : le refus vient du service, le silence vient d'un filtrage. Et traitez la capture comme la donnée sensible qu'elle est.