রিমোট ক্যাপচার থেকে SSH ফ্লো বাদ দেওয়া উচিত কি?

একই সংযোগের মধ্য দিয়ে আউটপুট দেখতে দেখতে রিমোট মেশিনে ক্যাপচার করা একটি স্ব-উল্লেখমূলক পরিমাপ, এবং এটি যা পরিমাপ করছেন তা বিকৃত করে। আপনি যে প্রতিটি প্যাকেট প্রিন্ট করেন তা ক্যাপচার হওয়া সেশন দিয়েই ফিরে আসে। ওই ফ্লো বাদ দেওয়া সাধারণত ঠিক, কিন্তু বাদ দেওয়ার আকার একটি বাস্তব সিদ্ধান্ত। খুব সংকীর্ণ হলে ক্যাপচার নিজেই নিজেকে প্লাবিত করে; খুব প্রশস্ত হলে প্রমাণ অদৃশ্য হয়ে যায়।

ক্যাপচার কেন নিজেকে রেকর্ড করে

ক্যাপচার তার নিজের আউটপুটের ফিরতি পথ দেখে। আপনার টার্মিনালে প্রিন্ট হওয়া প্রতিটি লাইন ম্যানেজমেন্ট সংযোগে এক বা একাধিক প্যাকেটে পরিণত হয়, যা ফিল্টার পরে মিলিয়ে আবার প্রিন্ট করে। ফলাফল একটি লুপ যা বাফার বা লিঙ্ক হার মানা পর্যন্ত বাড়ে।

এই কারণেই ফাইলে লেখা ক্যাপচার ভালো দেখায় আর একই ক্যাপচার সরাসরি স্ট্রিম করলে অচল হয়ে যায়। ট্রাফিক নতুন নয়; আপনি এটা তৈরি করেছেন। দশ সেকেন্ডের ক্যাপচার লুপ শুরু হলে লিঙ্ক যতটা বহন করতে পারে তার চেয়ে বেশি আউটপুট দিতে পারে।

বাদ দেওয়াটি একটিমাত্র গ্রুপ হিসেবে গড়ুন

আপনার লোকাল টার্মিনালের ঠিকানা থেকে নয়, রিমোট হোস্ট কীভাবে আপনার সেশনটি দেখে সেখান থেকে শুরু করুন। একটি জাম্প হোস্ট বা NAT ডিভাইস প্রান্তটিকে এমন কিছু বানাতে পারে যা আপনি কখনো লেখেননি, তাই ঠিকানাটি রিমোট দিকের নিজের দৃষ্টিভঙ্গি থেকে পড়ুন। তারপর হোস্ট ও পোর্ট একসাথে গ্রুপ করুন যাতে নেগেশন জোড়ার উপর প্রযোজ্য হয়।

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

পুরো এক্সপ্রেশনটি কোট করা শেলকে বন্ধনীগুলো সিনট্যাক্স হিসেবে পড়া থেকে বিরত রাখে। ফলাফলে ভরসা করার আগে ফিল্টারটি আবার প্রিন্ট করুন।

যে ফিল্টার ঠিক দেখায় আর সবকিছু ধরে রাখে

ভুল ফিল্টারটি হলো সেইটি যা স্বাভাবিকভাবে পড়া যায়: উৎস প্রান্ত নয়, অথবা গন্তব্য প্রান্ত নয়। আপনার ওয়ার্কস্টেশন থেকে আসা প্যাকেটের জন্য প্রথম পরীক্ষা সত্য; উত্তরটির জন্য দ্বিতীয়টি। এদের or দিয়ে জোড়া দিলে দুই দিকই থাকে, যা ঠিক আপনি বাদ দিতে চেয়েছিলেন।

pcap ফিল্টার লজিক and ও or-কে সমান অগ্রাধিকার দেয় এবং বাম থেকে ডানে মূল্যায়ন করে, তাই মিশিয়ে ব্যবহার করলে বন্ধনী ঐচ্ছিক নয়। দুটি নেগেশন একত্র করার বদলে একটি গ্রুপ করা এক্সপ্রেশন নেগেট করুন। এই একক পরিবর্তনই একটি কাজ করা ফিল্টারকে আপনার নিজের টাইপিংয়ে ভরা ক্যাপচার থেকে আলাদা করে। pcap ফিল্টার রেফারেন্স টার্মিনালে পড়ার মতো যথেষ্ট ছোট এবং ফিল্টার অপ্রত্যাশিত আচরণ করলে দেখে নেওয়ার যোগ্য।

ক্যাপচারকে কী প্রমাণ করতে হবে তা দিয়ে সিদ্ধান্ত নিন

ক্যাপচারকে কী প্রমাণ করতে হবে তা জিজ্ঞাসা করে ঠিক করুন কতটা বাদ দেবেন। একই হোস্টে অ্যাপ্লিকেশন ট্রাফিক দেখতে হলে কেবল SSH পোর্ট বাদ দিন এবং অন্য সেশনগুলোর শব্দ মেনে নিন। প্রশ্নের সঙ্গে হোস্টের সম্পর্ক না থাকলে সেটি সম্পূর্ণ বাদ দেওয়া সহজতর এবং স্ব-উৎপন্ন প্যাকেটের একটি পুরো শ্রেণি সরিয়ে দেয়। পছন্দটি ক্যাপচার ফাইলের পাশে লিখে রাখুন, কারণ ফিল্টার প্রমাণ সম্পর্কে একটি অনুমান।

ইন্টারফেসের পছন্দই ঠিক করে আপনি আদৌ কী দেখতে পাবেন. টানেলে আপনি ভেতরের ট্রাফিক দেখেন; ফিজিক্যাল ইন্টারফেসে দেখেন এনক্রিপ্টেড ট্রান্সপোর্ট। আপনি যে বিন্দু বেছেছেন সেখানে ম্যানেজমেন্ট প্যাকেট আগেই অনুপস্থিত থাকলে, ভুল স্তরে লক্ষ্য করা ক্যাপচার কোনো বাদ দেওয়াই ঠিক করতে পারবে না।