Cipio pecynnau o bell: cadw'r synhwyrydd yn lleol, y dadansoddwr o bell

Mae cipio pecynnau yn perthyn lle mae'r pecynnau yn barod yn llifo, ac anaml y mae'r dadansoddwr o bell yn eistedd yno. Y drefn ymarferol yw synhwyrydd ar y segment a arsylwir ynghyd â VPN sy'n cario gweinyddiaeth ac adfer, nid y cyswllt drychiedig cyfan. Mae'r rhaniad hwnnw yn cadw gliniadur y dadansoddwr allan o lwybr y cipio ac yn cadw'r llwythau sensitif ar y safle. Mae'r camau isod yn dewis y rhyngwyneb, yn cyfyngu'r ffeil ac yn symud dim ond yr hyn sydd ei angen ar y cwestiwn.

Nid yw gliniadur o bell yn dap

Mae ymuno â'r rhwydwaith dros VPN yn rhoi llwybr i'ch peiriant at y synhwyrydd, nid golwg ar draffig rhwng gwesteiwyr eraill. Mae cipio a gymerir ar eich gliniadur yn gweld dim ond pecynnau a ddanfonir i ryngwyneb eich gliniadur. Mae gwylio cyswllt a newidiwyd yn gofyn i berchennog y rhwydwaith ddarparu drych neu dap sy'n bwydo synhwyrydd ar y safle. Hyd yn oed wedyn mae gan y drych derfynau, oherwydd bod cyrchfannau gorbwysig yn gollwng fframiau ac nad yw porth byth yn gweld traffig sy'n aros o fewn yr un VLAN.

Mae ffrwd wedi'i hamgryptio hefyd yn aros wedi'i hamgryptio wrth y synhwyrydd, gan fod llwyth TLS yn perthyn i'r penau. Mae cipio yn rhoi pennawdau, amseru a chyfaint, nid testun plaen.

Dewiswch y rhyngwyneb sy'n gallu gweld y ffrwd

Cyn hidlo unrhyw beth, rhowch restr o'r rhywynebau a chadarnhewch pa un sy'n cario'r llwybr y gofynnwyd amdano. Mae dyfalu rhwng porth ffisegol, bond a phont yn ffordd gyffredin o gasglu ffeil wag.

ip -br link
dumpcap -D

Cymharwch enw'r rhyngwyneb â'r man arsylwi yn y cofnod newid, nid ag enw rydych yn ei gofio o westai arall. Os yw cyfrif y pecynnau yn aros ar sero tra bod y gwasanaeth yn amlwg yn brysur, mae'r synhwyrydd ar y segment anghywir neu mae'r drych wedi'i osod ar gyfer y cyfeiriad arall. Profwch y llwybr yn gyntaf gyda chyfnewid hysbys, fel nad yw drych wedi torri yn cael ei gamgymryd am gymhwysiad tawel. Ysgrifennwch fanylion y rhyngwyneb a'r drych yn y nodiadau cipio tra maent yn dal yn ffres.

Cyfyngwch y cipio â hidlydd a chylch

Mae cipio heb derfynau yn llenwi'r disg ac yn casglu mwy nag sydd ei angen ar y cwestiwn. Rhowch y ffynhonnell, y gyrchfan a'r protocol a ganiateir yn y hidlydd, yna cyfyngwch faint y ffeil a nifer y ffeiliau.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Mae'r cyfeiriad a'r porth uchod yn enghreifftiau o'r ystod dogfennaeth, felly rhoddwch y gwerthoedd a gymeradwywyd yn eu lle a chadwch y ffenestr yn ddigon byr i'r dystiolaeth oroesi'r cylch. Mae hyd y ciplun yn torri'r llwyth wrth gadw'r pennawdau, sydd fel arfer yn ddigon ar gyfer cwestiwn cysylltedd ac yn llawer haws ei storio. Darllenwch y llinell ollwng gnewyllol y mae tcpdump yn ei hargraffu wrth adael, oherwydd bod cyfrif ollwng uchel yn golygu bod y cipio yn anghyflawn yn hytrach na thawel. Cadwch y ffenestr sydd ei hangen arnoch cyn i'r cylch ei throsysgrifo, a chofnodwch y llinyn hidlydd wrth enw'r ffeil.

Symudwch y ffeil, nid y cyswllt cyfan

Adferwch y cipio gorffenedig dros y sianel reoli yn lle ffrydio'r drych ar draws y WAN. Mae un trosglwyddiad yn haws ei awdurdodi, ei gofnodi a'i ddileu na allforiad parhaus.

scp [email protected]:/var/tmp/cap.pcap ./

Cadwch y ffeil yn ddarllenadwy i gyfrif y gweithredwr yn unig, a'i dileu o'r synhwyrydd unwaith y bydd y copi dadansoddi wedi'i wirio. Os yw allforio byw wir yn ofyniad, mesurwch amgáu'r drych a'r cludiant gyda'i gilydd, oherwydd y gall y gorbeniaeth fynd y tu hwnt i gyllideb y cyswllt. Cofnodwch y bylchau gwelededd beth bynnag, gan fod cipio yn dystiolaeth â man arsylwi hysbys yn hytrach na chofnod cyflawn o'r rhwydwaith.