Captura remota de paquetes: el sensor se queda local y el analista trabaja en remoto

La captura de paquetes pertenece donde los paquetes ya fluyen, y el analista remoto rara vez está allí. La disposición viable es un sensor en el segmento observado más una VPN que transporta administración y recuperación, no todo el enlace espejado. Esa separación mantiene el portátil del analista fuera de la ruta de captura y conserva las cargas sensibles en el sitio. Los pasos siguientes eligen la interfaz, acotan el archivo y mueven solo lo que la pregunta necesita.

Un portátil remoto no es un tap

Unirse a la red por VPN da a su máquina una ruta hacia el sensor, no visibilidad del tráfico entre otros equipos. Una captura tomada en su portátil solo ve paquetes entregados a la interfaz de su portátil. Observar un enlace conmutado exige que el propietario de la red proporcione un espejo o un punto de captura que alimente un sensor en el sitio. Aun así el espejo tiene límites, porque los destinos sobrecargados descartan tramas y una pasarela nunca ve el tráfico que se queda dentro de la misma VLAN.

Un flujo cifrado también sigue cifrado en el sensor, ya que la carga TLS pertenece a los extremos. La captura entrega cabeceras, tiempos y volumen, no texto claro.

Elija la interfaz que puede ver el flujo

Antes de filtrar nada, enumere las interfaces y confirme cuál transporta la ruta por la que le preguntaron. Adivinar entre un puerto físico, una agregación y un puente es una forma habitual de recoger un archivo vacío.

ip -br link
dumpcap -D

Haga coincidir el nombre de la interfaz con el punto de observación del registro de cambios, no con un nombre que recuerde de otro equipo. Si el recuento de paquetes sigue en cero mientras el servicio está visiblemente ocupado, el sensor está en el segmento equivocado o el espejo está configurado para la otra dirección. Demuestre primero la ruta con un intercambio conocido, para que un espejo roto no se confunda con una aplicación silenciosa. Escriba los detalles de la interfaz y del espejo en las notas de captura mientras aún están frescos.

Acote la captura con un filtro y un anillo

Una captura sin límites llena el disco y recoge más de lo que exige la pregunta. Ponga el origen, el destino y el protocolo permitidos en el filtro, y luego acote el tamaño del archivo y el número de archivos.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

La dirección y el puerto anteriores son ejemplos del rango de documentación, así que sustituya los valores aprobados y mantenga la ventana lo bastante corta para que la evidencia sobreviva al anillo. La longitud de instantánea recorta la carga y conserva las cabeceras, lo que suele bastar para una pregunta de conectividad y es mucho más fácil de almacenar. Lea la línea de descarte del núcleo que tcpdump imprime al salir, porque un recuento alto de descartes significa que la captura está incompleta y no silenciosa. Conserve la ventana que necesita antes de que el anillo la sobrescriba y anote la cadena de filtro junto al nombre del archivo.

Mueva el archivo, no todo el enlace

Recupere la captura terminada por el canal de gestión en lugar de transmitir el espejo por la WAN. Una sola transferencia es más fácil de autorizar, registrar y borrar que una exportación continua.

scp [email protected]:/var/tmp/cap.pcap ./

Mantenga el archivo legible solo por la cuenta de operador y bórrelo del sensor cuando la copia de análisis esté verificada. Si la exportación en vivo es de verdad el requisito, dimensione la encapsulación del espejo y el transporte juntos, porque la sobrecarga puede superar el presupuesto del enlace. Anote las lagunas de visibilidad en cualquier caso, ya que una captura es una prueba con un punto de observación conocido y no un registro completo de la red.