Fora paketa kaptado: la sensilo restu loka, la analizisto fora

Paketa kaptado apartenas tien, kie la pakoj jam fluas, kaj la fora analizisto malofte sidas tie. La farebla aranĝo estas sensilo sur la observata segmento plus VPN, kiu portas administradon kaj rericevon, ne la tutan spegulitan ligilon. Tiu divido tenas la tekkomputilon de la analizisto ekster la kaptada vojo kaj tenas sentemajn datumojn surloke. La subaj paŝoj elektas la interfacon, limigas la dosieron kaj movas nur tion, kion la demando bezonas.

Fora tekkomputilo ne estas kaptilo

Aliĝi al la reto per VPN donas al via maŝino itineron al la sensilo, ne videcon en la trafikon inter aliaj gastigantoj. Kaptado farita sur via tekkomputilo vidas nur pakojn liveritajn al la interfaco de via tekkomputilo. Observi komutitan ligilon postulas, ke la retposedanto provizu spegulon aŭ kaptilon, kiu nutras sensilon surloke. Eĉ tiam la spegulo havas limojn, ĉar troŝarĝitaj celoj forĵetas kadrojn kaj pordego neniam vidas trafikon, kiu restas ene de la sama VLAN.

Ĉifrita fluo ankaŭ restas ĉifrita ĉe la sensilo, ĉar la TLS ŝarĝo apartenas al la finpunktoj. Kaptado donas kapojn, tempon kaj volumon, ne klaran tekston.

Elektu la interfacon, kiu povas vidi la fluon

Antaŭ ol filtri ion ajn, listigu la interfacojn kaj konfirmu, kiu portas la vojon, pri kiu oni demandis vin. Diveni inter fizika pordo, ligo kaj ponto estas kutima maniero kolekti malplenan dosieron.

ip -br link
dumpcap -D

Kongruigu la nomon de la interfaco al la observpunkto en la ŝanĝprotokolo, ne al nomo, kiun vi memoras de alia gastiganto. Se la paka nombro restas nula dum la servo videble okupatas, la sensilo sidas sur la malĝusta segmento aŭ la spegulo estas agordita por la alia direkto. Pruvu la vojon unue per konata interŝanĝo, por ke rompita spegulo ne estu konfuzata kun kvieta aplikaĵo. Skribu la detalojn de interfaco kaj spegulo en la kaptadnotojn dum ili ankoraŭ freŝas.

Limigu la kaptadon per filtrilo kaj ringo

Kaptado sen limoj plenigas la diskon kaj kolektas pli, ol la demando postulas. Metu la permesitan fonton, celon kaj protokolon en la filtrilon, poste limigu la dosiergrandon kaj la nombron de dosieroj.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

La supra adreso kaj pordo estas ekzemploj el la dokumentada gamo, do anstataŭigu ilin per la aprobitaj valoroj kaj tenu la fenestron sufiĉe mallonga, ke la pruvoj postvivu la ringon. La momentfota longo tranĉas la ŝarĝon, konservante la kapojn, kio kutime sufiĉas por konekteca demando kaj multe pli facile stokeblas. Legu la kernan ellasan linion, kiun tcpdump presas ĉe eliro, ĉar alta ellasnombro signifas, ke la kaptado estas nekompleta, ne kvieta. Konservu la fenestron, kiun vi bezonas, antaŭ ol la ringo superskribos ĝin, kaj notu la filtrilan ĉenon apud la dosiernomo.

Movu la dosieron, ne la tutan ligilon

Rericevu la finitan kaptadon per la administra kanalo anstataŭ elsendi la spegulon trans la WAN. Unu transigo estas pli facile rajtigebla, registrebla kaj forigebla ol daŭra eksporto.

scp [email protected]:/var/tmp/cap.pcap ./

Tenu la dosieron legebla nur por la operatora konto, kaj forigu ĝin de la sensilo post kiam la analiza kopio estas kontrolita. Se viva eksporto vere estas la postulo, mezuru la spegulan enkapsuligon kaj la transporton kune, ĉar la kromŝarĝo povas superi la ligilan buĝeton. Notu la videblajn mankojn ĉiuokaze, ĉar kaptado estas pruvo kun konata observpunkto, ne kompleta registro de la reto.