هل ينبغي استبعاد تدفق SSH من التقاط بعيد؟

الالتقاط على جهاز بعيد بينما تراقب المخرجات عبر الاتصال نفسه قياس مرجعي إلى نفسه، وهو يشوّه ما تقيسه. كل حزمة تطبعها تعود عبر الجلسة التي يجري التقاطها. استبعاد ذلك التدفق صحيح عادةً، لكن حجم الاستبعاد قرار جاد. إذا كان ضيقًا جدًا يغرق الالتقاط في نفسه؛ وإذا كان واسعًا جدًا تختفي الأدلة.

لماذا يسجّل الالتقاط نفسه

يرى الالتقاط مسار العودة لمخرجاته. كل سطر يُطبع في طرفيتك يصبح حزمة واحدة أو أكثر على اتصال الإدارة، ثم يطابقه المرشّح ويطبعه مرة أخرى. النتيجة حلقة تنمو حتى يستسلم المخزن المؤقت أو الرابط.

لهذا يبدو التقاط مكتوب إلى ملف سليمًا، بينما يصبح الالتقاط نفسه المتدفق مباشرة غير قابل للاستخدام. فالحركة ليست جديدة؛ أنت من أنشأها. التقاط مدته عشر ثوانٍ قد ينتج مخرجات أكثر مما يستطيع الرابط حمله بمجرد أن تبدأ الحلقة.

ابنِ الاستبعاد كمجموعة واحدة

ابدأ من الطريقة التي يرى بها المضيف البعيد جلستك، لا من العنوان في طرفيتك المحلية. يمكن لمضيف وسيط أو جهاز NAT أن يجعل الطرف شيئًا لم تكتبه قط، لذا اقرأ العنوان من رؤية الجانب البعيد نفسه. ثم اجمع المضيف والمنفذ معًا حتى ينطبق النفي على الزوج.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

وضع التعبير كاملًا بين علامات اقتباس يمنع الصدفة من قراءة الأقواس كصياغة. اطبع المرشّح مرة أخرى قبل أن تثق بالنتيجة.

المرشّح الذي يبدو صحيحًا ويحتفظ بكل شيء

المرشّح الخاطئ هو الذي يُقرأ على طبيعته: المصدر ليس الطرف، أو الوجهة ليست الطرف. بالنسبة لحزمة من محطة عملك يكون الاختبار الأول صحيحًا؛ وبالنسبة للردّ يكون الثاني صحيحًا. جمعهما باستخدام or يبقي الاتجاهين، وهذا بالضبط ما كنت تنوي إسقاطه.

منطق مرشّح pcap يعطي and و or الأولوية نفسها ويقيّم من اليسار إلى اليمين، لذا الأقواس ليست اختيارية عندما تخلط بينهما. انفِ تعبيرًا واحدًا مجمّعًا بدلًا من دمج نفيين. هذا التغيير الواحد يفصل مرشّحًا عاملًا عن التقاط مليء بكتابتك أنت. مرجع مرشّح pcap قصير بما يكفي لقراءته في الطرفية ويستحق المراجعة كلما تصرّف مرشّح بشكل غير متوقع.

قرّر بحسب ما يجب أن يثبته الالتقاط

قرّر مقدار ما تستبعده بسؤال: ما الذي يجب أن يثبته الالتقاط؟ إذا كنت تحتاج إلى رؤية حركة التطبيقات إلى المضيف نفسه، فاستبعد منفذ SSH فقط واقبل الضجيج من جلسات أخرى. وإذا كان المضيف غير ذي صلة بالسؤال، فاستبعاده كليًا أبسط ويزيل فئة كاملة من الحزم المولّدة ذاتيًا. اكتب الاختيار بجانب ملف الالتقاط، لأن المرشّح افتراض عن الأدلة.

اختيار الواجهة يحدّد ما يمكنك رؤيته أصلًا. على النفق ترى الحركة الداخلية؛ وعلى الواجهة الفيزيائية ترى النقل المشفّر. إذا كانت حزم الإدارة غائبة أصلًا عند النقطة التي اخترتها، فلن يصلح أي استبعاد التقاطًا موجّهًا إلى الطبقة الخطأ.