Kas peaksite SSH-voo kaugjäädvustusest välja jätma?

Kaugmasinas jäädvustamine, kui jälgite väljundit sama ühenduse kaudu, on enesekohane mõõtmine ja moonutab seda, mida mõõdate. Iga pakett, mille trükite, rändab tagasi jäädvustatava seansi kaudu. Selle voo väljajätmine on tavaliselt õige, kuid väljajätmise suurus on tõeline otsus. Liiga kitsas ja jäädvustus uputab iseennast; liiga lai ja tõendid kaovad.

Miks jäädvustus salvestab iseennast

Jäädvustus näeb omaenda väljundi tagasiteed. Iga teie terminali trükitud rida muutub haldusühendusel üheks või mitmeks paketiks, mille filter seejärel sobitab ja uuesti trükib. Tulemuseks on silmus, mis kasvab, kuni puhver või link alla annab.

Seepärast näeb faili kirjutatud jäädvustus hea välja, samas kui sama jäädvustus otsevoogesituses muutub kasutuskõlbmatuks. Liiklus ei ole uus; te lõite selle. Kümneseekundiline jäädvustus võib toota rohkem väljundit, kui link suudab kanda, kui silmus on alanud.

Ehitage väljajätmine ühe rühmana

Alustage sellest, kuidas kaug-host teie seanssi näeb, mitte teie kohaliku terminali aadressist. Hüppehost või NAT-seade võib teha vastaspoole millestki, mida te kunagi ei sisestanud, seega lugege aadress kaugpoolse enda vaatest. Seejärel rühmitage host ja port kokku, et eitus kehtiks paarile.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Kogu avaldise tsiteerimine takistab kestal sulge süntaksina lugeda. Trükkige filter uuesti välja, enne kui tulemust usaldate.

Filter, mis näeb õige välja ja hoiab kõik

Vale filter on see, mida loetakse loomulikult: allikas ei ole vastaspool või sihtkoht ei ole vastaspool. Teie tööjaamast tuleva paketi puhul on esimene test tõene; vastuse puhul teine. Nende ühendamine sõnaga or hoiab mõlemad suunad, mis on täpselt see, mida tahtsite ära jätta.

pcap-filtri loogika annab and ja or-le võrdse prioriteedi ja hindab vasakult paremale, seega sulud ei ole valikulised, kui neid segate. Eitake üht rühmitatud avaldist kahe eituse kombineerimise asemel. See üks muudatus eristab toimivat filtrit jäädvustusest, mis on täis teie enda trükkimist. pcap-filtri viide on piisavalt lühike, et terminalis lugeda, ja tasub üle vaadata alati, kui filter käitub ootamatult.

Otsustage selle järgi, mida jäädvustus peab tõestama

Otsustage, kui palju välja jätta, küsides, mida jäädvustus peab tõestama. Kui peate nägema rakenduste liiklust samasse hosti, jätke välja ainult SSH-port ja leppige teiste seansside müraga. Kui host on küsimuse jaoks ebaoluline, on selle täielik väljajätmine lihtsam ja eemaldab terve klassi ise loodud pakette. Kirjutage valik jäädvustusfaili kõrvale, sest filter on oletus tõendite kohta.

Liidese valik otsustab, mida te üldse näha saate. Tunnelis näete sisemist liiklust; füüsilisel liidesel näete krüpteeritud transporti. Kui halduspaketid on valitud punktis juba puudu, ei paranda ükski väljajätmine vale kihi poole suunatud jäädvustust.