Ĉu vi forigu la SSH-fluon el fora kaptado?
Fora kaptado registras la konekton, kiu portas ĝian propran eligon. Decidu kiom forigi, kaj neniam kunigu du negativajn gastigantajn testojn per or.
Kapti sur fora maŝino dum vi observas la eligon tra la sama konekto estas memreferenca mezuro, kaj ĝi distordas tion, kion vi mezuras. Ĉiu paketo, kiun vi presas, revenas tra la registrata seanco. Forigi tiun fluon kutime pravas, sed la grando de la forigo estas vera decido. Tro mallarĝa kaj la kaptado inundas sin; tro larĝa kaj la pruvoj malaperas.
Kial la kaptado registras sin
La kaptado vidas la reiron de sia propra eligo. Ĉiu linio presita al via terminalo fariĝas unu aŭ pluraj paketoj sur la administra konekto, kiujn la filtrilo poste kongruas kaj presas denove. La rezulto estas buklo, kiu kreskas ĝis la bufro aŭ la ligo cedas.
Tial kaptado skribita al dosiero aspektas bone, dum la sama kaptado elsendata vive fariĝas neuzebla. La trafiko ne estas nova; vi kreis ĝin. Dek-sekunda kaptado povas produkti pli da eligo ol la ligo povas porti, post kiam la buklo komenciĝas.
Konstruu la forigon kiel unu grupon
Komencu de tio, kiel la fora gastiganto vidas vian seancon, ne de la adreso en via loka terminalo. Saltgastiganto aŭ NAT-aparato povas igi la kontraŭulon io, kion vi neniam tajpis, do legu la adreson el la propra vidpunkto de la fora flanko. Poste grupigu la gastiganton kaj la pordon kune, por ke la neo aplikiĝu al la paro.
tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'Citi la tutan esprimon malhelpas al la ŝelo legi la parentezojn kiel sintakson. Presu la filtrilon denove antaŭ ol fidi la rezulton.
La filtrilo, kiu aspektas ĝusta kaj konservas ĉion
La malĝusta filtrilo estas tiu, kiu legiĝas nature: la fonto ne estas la kontraŭulo, aŭ la celo ne estas la kontraŭulo. Por paketo de via laborstacio la unua testo estas vera; por la respondo la dua. Kunigi ilin per or konservas ambaŭ direktojn, kio estas ĝuste tio, kion vi intencis forlasi.
La pcap-filtrila logiko donas al and kaj or egalan prioritaton kaj taksas de maldekstre dekstren, do parentezoj ne estas laŭvolaj kiam vi miksas ilin. Neegu unu grupan esprimon anstataŭ kunigi du neojn. Tiu unu ŝanĝo apartigas funkciantan filtrilon de kaptado plena de via propra tajpado. pcap-filtrila referenco estas sufiĉe mallonga por legi en la terminalo kaj indas kontrolon kiam ajn filtrilo kondutas sin neatendite.
Decidu laŭ tio, kion la kaptado devas pruvi
Decidu kiom forigi demandante, kion la kaptado devas pruvi. Se vi bezonas vidi aplikan trafikon al la sama gastiganto, forigu nur la SSH-pordon kaj akceptu bruon de aliaj seancoj. Se la gastiganto estas nerelevanta por la demando, tute forigi ĝin estas pli simpla kaj forigas tutan klason de memgeneritaj paketoj. Skribu la elekton apud la kaptadosiero, ĉar filtrilo estas supozo pri la pruvoj.
La elekto de interfaco decidas, kion vi entute povas vidi. Sur la tunelo vi vidas internan trafikon; sur la fizika interfaco vi vidas la ĉifritan transporton. Se la administraj paketoj jam forestas ĉe la punkto, kiun vi elektis, neniu forigo riparos kaptadon celitan al la malĝusta tavolo.