Máte vyloučit tok SSH ze vzdáleného zachytávání?

Zachytávání na vzdáleném stroji, zatímco sledujete výstup přes stejné spojení, je sebereferenční měření a zkresluje to, co měříte. Každý paket, který vytisknete, putuje zpět přes zachytávanou relaci. Vyloučení tohoto toku je obvykle správné, ale velikost vyloučení je skutečné rozhodnutí. Příliš úzké a zachytávání se samo zaplaví; příliš široké a důkazy zmizí.

Proč zachytávání zaznamenává samo sebe

Zachytávání vidí zpětnou cestu vlastního výstupu. Každý řádek vytištěný do vašeho terminálu se stane jedním nebo více pakety na řídicím spojení, které filtr poté zachytí a znovu vytiskne. Výsledkem je smyčka, která roste, dokud se vyrovnávací paměť nebo spojení nevzdají.

Proto zachytávání zapsané do souboru vypadá dobře a stejné zachytávání přenášené živě se stane nepoužitelným. Provoz není nový; vytvořili jste ho vy. Desetisekundové zachytávání může vyprodukovat více výstupu, než spojení unese, jakmile smyčka začne.

Sestavte vyloučení jako jednu skupinu

Začněte tím, jak vzdálený hostitel vidí vaši relaci, ne adresou ve vašem místním terminálu. Přeskakovací hostitel nebo zařízení NAT mohou z protější strany udělat něco, co jste nikdy nezadali, proto čtěte adresu z vlastního pohledu vzdálené strany. Potom seskupte hostitele a port dohromady, aby se negace vztahovala na dvojici.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Uvedení celého výrazu do uvozovek zabrání shellu číst závorky jako syntaxi. Vytiskněte filtr znovu, než výsledku uvěříte.

Filtr, který vypadá správně a zachová vše

Špatný filtr je ten, který se čte přirozeně: zdroj není protější strana, nebo cíl není protější strana. Pro paket z vaší pracovní stanice platí první test; pro odpověď druhý. Jejich spojení pomocí or zachová oba směry, což je přesně to, co jste chtěli zahodit.

Logika filtru pcap dává and a or stejnou prioritu a vyhodnocuje zleva doprava, takže závorky nejsou volitelné, když je mícháte. Negujte jeden seskupený výraz místo kombinování dvou negací. Tato jediná změna odděluje funkční filtr od zachytávání plného vašeho vlastního psaní. Referenční příručka filtru pcap je dost krátká na přečtení v terminálu a stojí za kontrolu, kdykoli se filtr chová nečekaně.

Rozhodněte podle toho, co má zachytávání prokázat

Rozhodněte, kolik vyloučit, podle toho, co má zachytávání prokázat. Pokud potřebujete vidět provoz aplikací na stejného hostitele, vylučte jen port SSH a přijměte šum jiných relací. Pokud je hostitel pro otázku irelevantní, úplné vyloučení je jednodušší a odstraní celou třídu samo generovaných paketů. Napište volbu vedle souboru zachytávání, protože filtr je předpoklad o důkazech.

Volba rozhraní rozhoduje o tom, co vůbec můžete vidět. V tunelu vidíte vnitřní provoz; na fyzickém rozhraní vidíte šifrovaný transport. Pokud na zvoleném místě řídicí pakety už chybí, žádné vyloučení nezachrání zachytávání zaměřené na špatnou vrstvu.