التقاط الحزم عن بُعد: أبقِ المستشعر محليًا والمحلل بعيدًا

الالتقاط يخصّ المكان الذي تتدفق فيه الحزم أصلًا، والمحلل البعيد نادرًا ما يكون هناك. الترتيب العملي هو مستشعر على المقطع المراقَب بالإضافة إلى شبكة افتراضية خاصة تنقل الإدارة والاسترجاع، لا الوصلة المُنعكسة كاملة. هذا الفصل يبقي حاسوب المحلل خارج مسار الالتقاط ويبقي الحمولات الحساسة في الموقع. الخطوات أدناه تختار الواجهة وتحدّ الملف وتنقل ما تحتاجه المسألة فقط.

الحاسوب البعيد ليس نقطة التقاط

الانضمام إلى الشبكة عبر الشبكة الافتراضية الخاصة يمنح جهازك مسارًا إلى المستشعر، لا رؤية للحركة بين المضيفات الأخرى. الالتقاط المأخوذ على حاسوبك لا يرى إلا الحزم التي تُسلَّم إلى واجهة حاسوبك. مراقبة وصلة مُبدَّلة تتطلب أن يوفر مالك الشبكة مرآة أو نقطة التقاط تغذّي مستشعرًا في الموقع. وحتى حينها للمرآة حدود، لأن الوجهات المفرطة الحِمل تُسقط الإطارات ولا يرى العبّار أبدًا الحركة التي تبقى داخل الشبكة المحلية الافتراضية نفسها.

التدفق المشفّر يبقى مشفّرًا أيضًا عند المستشعر، لأن حمولة TLS تخصّ الطرفين. الالتقاط يعطي الترويسات والتوقيت والحجم، لا النص الصريح.

اختر الواجهة التي ترى التدفق

قبل تصفية أي شيء، اسرد الواجهات وتأكد من التي تحمل المسار الذي سُئلت عنه. التخمين بين منفذ فعلي ووصلة مجمّعة وجسر طريقة شائعة لجمع ملف فارغ.

ip -br link
dumpcap -D

طابِق اسم الواجهة مع نقطة المراقبة في سجل التغيير، لا مع اسم تتذكره من مضيف آخر. إذا بقي عدد الحزم صفرًا بينما الخدمة مشغولة بشكل ظاهر، فالمستشعر على المقطع الخطأ أو أن المرآة مهيأة للاتجاه الآخر. أثبت المسار أولًا بتبادل معروف، حتى لا تُخطئ في اعتبار مرآة معطلة تطبيقًا هادئًا. اكتب تفاصيل الواجهة والمرآة في ملاحظات الالتقاط ما دامت طازجة.

حدّ الالتقاط بمرشح وحلقة

الالتقاط بلا حدود يملأ القرص ويجمع أكثر مما تتطلبه المسألة. ضع المصدر والوجهة والبروتوكول المسموح بها في المرشح، ثم حدّ حجم الملف وعدد الملفات.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

العنوان والمنفذ أعلاه مثالان من نطاق التوثيق، فاستبدلهما بالقيم المعتمدة وأبقِ النافذة قصيرة بما يكفي لتبقى الأدلة بعد الحلقة. طول اللقطة يقتطع الحمولة مع الاحتفاظ بالترويسات، وهو عادة كافٍ لسؤال اتصال وأسهل بكثير في التخزين. اقرأ سطر الإسقاط الذي يطبعه tcpdump عند الخروج، لأن ارتفاع عدد الإسقاط يعني أن الالتقاط غير مكتمل لا هادئًا. احفظ النافذة التي تحتاجها قبل أن تكتب الحلقة فوقها، وسجّل سلسلة المرشح بجانب اسم الملف.

انقل الملف لا الوصلة كاملة

استرجع الالتقاط المكتمل عبر قناة الإدارة بدلًا من بثّ المرآة عبر الشبكة الواسعة. نقل واحد أسهل في التخويل والتسجيل والحذف من تصدير مستمر.

scp [email protected]:/var/tmp/cap.pcap ./

اترك الملف مقروءًا لحساب المشغّل فقط، واحذفه من المستشعر بعد التحقق من نسخة التحليل. إذا كان التصدير الحي هو المتطلب فعلًا، فاحسب تغليف المرآة والنقل معًا، لأن العبء الإضافي قد يتجاوز ميزانية الوصلة. سجّل فجوات الرؤية في كلتا الحالتين، لأن الالتقاط دليل بنقطة مراقبة معروفة لا سجلًا كاملًا للشبكة.