Ці варта выключаць паток SSH з дыстанцыйнага захопу?

Захоп на аддаленай машыне, калі вы назіраеце за вывадам праз тое ж злучэнне, — гэта самарэферэнтнае вымярэнне, і яно скажае тое, што вы вымяраеце. Кожны пакет, які вы друкуеце, вяртаецца праз сеанс, які запісваецца. Выключыць гэты паток звычайна правільна, але памер выключэння — сапраўднае рашэнне. Занадта вузкае — і захоп затапляе сам сябе; занадта шырокае — і доказы знікаюць.

Чаму захоп запісвае сам сябе

Захоп бачыць зваротны шлях свайго ўласнага вываду. Кожны радок, надрукаваны ў ваш тэрмінал, ператвараецца ў адзін або некалькі пакетаў на кіраўнічым злучэнні, якія фільтр потым супастаўляе і друкуе зноў. Вынік — цыкл, які расце, пакуль буфер або канал не здадуцца.

Менавіта таму захоп, запісаны ў файл, выглядае добра, а той жа захоп у прамым эфіры становіцца непрыдатным. Трафік не новы; вы яго стварылі. Дзесяцісекундны захоп можа даць больш вываду, чым канал здольны перанесці, як толькі цыкл пачнецца.

Будуйце выключэнне як адну групу

Пачынайце з таго, як аддалены хост бачыць ваш сеанс, а не з адраса ў вашым лакальным тэрмінале. Прамежкавы хост або прылада NAT могуць зрабіць партнёра чымсьці, чаго вы ніколі не ўводзілі, таму чытайце адрас з уласнага погляду аддаленага боку. Затым аб'яднайце хост і порт разам, каб адмаўленне прымянялася да пары.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Узяцце ўсяго выразу ў лапкі не дазваляе абалонцы чытаць дужкі як сінтаксіс. Надрукуйце фільтр зноў, перш чым давяраць выніку.

Фільтр, які выглядае правільна і пакідае ўсё

Няправільны фільтр — той, што чытаецца натуральна: крыніца не партнёр, або прызначэнне не партнёр. Для пакета з вашай працоўнай станцыі першы тэст праўдзівы; для адказу — другі. Аб'яднанне праз or захоўвае абодва напрамкі, а гэта менавіта тое, што вы хацелі адкінуць.

Логіка фільтра pcap дае and і or аднолькавы прыярытэт і ацэньвае злева направа, таму дужкі неабавязковыя, калі вы іх змешваеце. Адмаўляйце адзін згрупаваны выраз замест аб'яднання двух адмаўленняў. Гэта адзіная змена аддзяляе працоўны фільтр ад захопу, поўнага вашага ўласнага набору. даведка па фільтры pcap дастаткова кароткая, каб прачытаць яе ў тэрмінале, і вартая праверкі, калі фільтр паводзіць сябе нечакана.

Вырашайце па тым, што павінен даказаць захоп

Вырашыце, колькі выключыць, спытаўшыся, што павінен даказаць захоп. Калі вам трэба бачыць трафік праграм да таго ж хаста, выключыце толькі порт SSH і пагадзіцеся з шумам іншых сеансаў. Калі хост не мае дачынення да пытання, цалкам выключыць яго прасцей, і гэта прыбірае цэлы клас самастойна створаных пакетаў. Запішыце выбар побач з файлам захопу, бо фільтр — гэта здагадка пра доказы.

Выбар інтэрфейса вырашае, што вы ўвогуле можаце ўбачыць. У тунэлі вы бачыце ўнутраны трафік; на фізічным інтэрфейсе — зашыфраваны транспарт. Калі кіраўнічыя пакеты ўжо адсутнічаюць у абраным пункце, ніякае выключэнне не выправіць захоп, накіраваны не на той узровень.