Moet jy die SSH-vloei uit 'n afstandopname uitsluit?

Om op 'n afgeleë masjien op te neem terwyl jy die uitset deur dieselfde verbinding dophou, is 'n selfverwysende meting, en dit verdraai wat jy meet. Elke pakket wat jy druk, reis terug deur die sessie wat opgeneem word. Om daardie vloei uit te sluit is gewoonlik reg, maar die grootte van die uitsluiting is 'n werklike besluit. Te smal en die opname oorstroom homself; te wyd en die bewyse verdwyn.

Waarom die opname homself aanteken

Die opname sien die terugpad van sy eie uitset. Elke reël wat na jou terminaal gedruk word, word een of meer pakkette op die bestuursverbinding, wat die filter dan pas en weer druk. Die resultaat is 'n lus wat groei totdat die buffer of die skakel padgee.

Dit is waarom 'n opname wat na 'n lêer geskryf word, goed lyk, en dieselfde opname wat regstreeks gestroom word, onbruikbaar word. Die verkeer is nie nuut nie; jy het dit geskep. 'n Opname van tien sekondes kan meer uitset lewer as wat die skakel kan dra sodra die lus begin.

Bou die uitsluiting as een groep

Begin by hoe die gasheer op afstand jou sessie sien, nie by die adres in jou plaaslike terminaal nie. 'n Springgasheer of 'n NAT-toestel kan die eweknie iets maak wat jy nooit getik het nie, so lees die adres uit die afstandkant se eie siening. Groepeer dan die gasheer en die poort saam sodat die ontkenning op die paar van toepassing is.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Om die hele uitdrukking aan te haal, keer dat die skaal die hakies as sintaksis lees. Druk die filter terug voordat jy die resultaat vertrou.

Die filter wat reg lyk en alles behou

Die verkeerde filter is die een wat natuurlik lees: bron is nie die eweknie nie, of bestemming is nie die eweknie nie. Vir 'n pakket van jou werkstasie is die eerste toets waar; vir die antwoord is die tweede waar. Om hulle met or te verbind, behou beide rigtings, wat presies is wat jy bedoel het om te laat val.

pcap-filterlogika gee and en or gelyke voorrang en evalueer van links na regs, so hakies is nie opsioneel wanneer jy hulle meng nie. Ontken een gegroepeerde uitdrukking eerder as om twee ontkennings te kombineer. Daardie enkele verandering skei 'n werkende filter van 'n opname vol van jou eie tikwerk. Die pcap-filterverwysing is kort genoeg om in die terminaal te lees en die moeite werd om na te gaan wanneer 'n filter onverwags optree.

Besluit volgens wat die opname moet bewys

Besluit hoeveel om uit te sluit deur te vra wat die opname moet bewys. As jy toepassingsverkeer na dieselfde gasheer moet sien, sluit net die SSH-poort uit en aanvaar geraas van ander sessies. As die gasheer irrelevant vir die vraag is, is dit eenvoudiger om dit heeltemal uit te sluit, en dit verwyder 'n hele klas selfgegenereerde pakkette. Skryf die keuse langs die opnamelêer, want 'n filter is 'n aanname oor die bewyse.

Koppelvlakke se keuse bepaal wat jy hoegenaamd kan sien. Op die tonnel sien jy binneverkering; op die fisiese koppelvlak sien jy die geënkripteerde vervoer. As die bestuurspakkette reeds afwesig is op die punt wat jy gekies het, sal geen uitsluiting 'n opname regstel wat op die verkeerde laag gerig is nie.