Uzaqdan çəkilişdən SSH axınını çıxarmaq lazımdırmı?

Çıxışı eyni bağlantı üzərindən izləyərkən uzaq maşında çəkiliş aparmaq özünə istinad edən ölçmədir və ölçdüyün şeyi təhrif edir. Çap etdiyin hər paket çəkilən sessiya vasitəsilə geri qayıdır. Həmin axını çıxarmaq adətən düzgündür, amma çıxarmanın həcmi real qərardır. Çox dar olsa, çəkiliş özünü basır; çox geniş olsa, sübutlar yox olur.

Çəkiliş niyə özünü qeyd edir

Çəkiliş öz çıxışının geri yolunu görür. Terminalına çap olunan hər sətir idarəetmə bağlantısında bir və ya bir neçə paketə çevrilir, filtr onları uyğunlaşdırıb yenidən çap edir. Nəticə bufer və ya xətt tab gətirməyənə qədər böyüyən dövrədir.

Buna görə fayla yazılan çəkiliş yaxşı görünür, eyni çəkiliş canlı yayımlananda isə yararsız olur. Trafik yeni deyil; onu sən yaratmısan. On saniyəlik çəkiliş, dövrə başlayandan sonra xəttin daşıya biləcəyindən daha çox çıxış yarada bilər.

Çıxarmanı bir qrup kimi qur

Yerli terminalındakı ünvandan deyil, uzaq hostun sessiyanı necə gördüyündən başla. Atlama hostu və ya NAT cihazı qarşı tərəfi heç yazmadığın bir şeyə çevirə bilər, ona görə ünvanı uzaq tərəfin öz görünüşündən oxu. Sonra hostu və portu birlikdə qruplaşdır ki, inkar cütə tətbiq olunsun.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Bütün ifadəni dırnağa almaq qabığın mötərizələri sintaksis kimi oxumasının qarşısını alır. Nəticəyə güvənməzdən əvvəl filtri geri çap et.

Düzgün görünən və hər şeyi saxlayan filtr

Səhv filtr təbii oxunandır: mənbə qarşı tərəf deyil, ya da təyinat qarşı tərəf deyil. İş stansiyandan gələn paket üçün birinci sınaq doğrudur; cavab üçün ikinci doğrudur. Onları or ilə birləşdirmək hər iki istiqaməti saxlayır, bu da tam olaraq atmaq istədiyin şeydir.

pcap filtr məntiqi and və or-a bərabər üstünlük verir və soldan sağa qiymətləndirir, ona görə onları qarışdıranda mötərizələr məcburidir. İki inkarı birləşdirmək əvəzinə bir qruplaşdırılmış ifadəni inkar et. Bu tək dəyişiklik işlək filtri öz yazılarınla dolu çəkilişdən ayırır. pcap filtr sənədi terminalda oxumaq üçün kifayət qədər qısadır və filtr gözlənilməz davrandıqda ona baxmağa dəyər.

Çəkilişin nəyi sübut etməli olduğuna görə qərar ver

Nə qədər çıxaracağına çəkilişin nəyi sübut etməli olduğunu soruşaraq qərar ver. Eyni hosta tətbiq trafikini görmək lazımdırsa, yalnız SSH portunu çıxar və digər sessiyaların səs-küyünü qəbul et. Host sualla əlaqəsizdirsə, onu tamamilə çıxarmaq daha sadədir və özünün yaratdığı paketlərin bütöv bir sinfini aradan qaldırır. Seçimi çəkiliş faylının yanına yaz, çünki filtr sübutlar barədə fərziyyədir.

İnterfeys seçimi ümumiyyətlə nəyi görə biləcəyini müəyyən edir. Tuneldə daxili trafiki görürsən; fiziki interfeysdə şifrələnmiş nəqliyyatı görürsən. İdarəetmə paketləri seçdiyin nöqtədə artıq yoxdursa, heç bir çıxarma yanlış qata yönəlmiş çəkilişi düzəltməz.