Méthode : diagnostiquer de bout en bout

Prérequis : tout le cursus (c'est la synthèse).

Pourquoi

Connaître les notions ne suffit pas : en incident, c'est la méthode qui fait la différence entre 5 minutes et 2 heures. Ce cours assemble tout en une procédure unique, du symptôme à la cause.

Concepts : l'escalier (bas vers haut, jamais l'inverse)

1. Local : câble/WiFi associé ? IP/masque/passerelle (ip addr, ip route) ?
2. Sortie : passerelle ping ? 8.8.8.8 ping (routage) ?
3. Noms : dig neutre vs local (DNS menteur ?) ?
4. Chemin : traceroute/MTR vers la cible (où ça bloque ?) ?
5. Ports : ss local, nmap/nc distant, curl applicatif (filtré ? fermé ? app KO ?) ?
6. Contenu : statut HTTP, certificat, logs (app + proxy + base, même heure) ?

• Règle d'or : un seul changement à la fois, noté. Deux changements = on ne saura jamais lequel a réparé (ni lequel a cassé).

Exemple : « le site ne répond plus » en 5 minutes

1. WiFi ok, IP 192.168.1.20/24, default via .1 ✓
2. ping .1 ✓, ping 8.8.8.8 ✓ → le routage sort
3. dig +short site.fr → bonne IP ✓ → pas le DNS
4. traceroute : arrive au bout ✓
5. curl timeout, nmap : 443 filtered → firewall côté serveur (règle ajoutée ce matin !)
→ Cause : UFW, pas « internet ». Vérifier : journal des changements du matin.

Cas réel

Panne « totale » un lundi : en fait 3 pannes empilées (DNS qui pointait encore l'ancien + certificat expiré le week-end + quota disque à 98 %). Chaque étage diagnostiqué séparément, réparé séparément. Sans méthode : « tout est cassé », avec : trois tickets clairs.

Pièges

• Commencer par la couche 7 (« je relance l'app ») : on masque la cause couche 3 et on perd les preuves.
• Changer 3 réglages d'un coup : réparé… ou déplacé ? On ne sait plus.
• Oublier l'heure (« depuis quand ? ») : corréler avec les changements (deploy, reboot, expiration) résout la moitié des incidents.
• Négliger le « ça marchait avant » : lister ce qui a changé (humain, auto-update, expiration, quota).

À retenir

Escalier bas→haut, un changement noté à la fois, « depuis quand » + « qu'est-ce qui a changé » = la moitié du diagnostic.