Pitäisikö SSH-virta jättää pois etäkuvauksesta?

Kuvaus etäkoneella samalla kun seuraat tulostetta saman yhteyden kautta on itsensä viittaava mittaus, ja se vääristää sitä, mitä mittaat. Jokainen tulostamasi paketti kulkee takaisin kuvattavan istunnon kautta. Tuon virran pois jättäminen on yleensä oikein, mutta poissulkemisen koko on todellinen päätös. Liian kapea ja kuvaus hukuttaa itsensä; liian leveä ja todisteet katoavat.

Miksi kuvaus tallentaa itsensä

Kuvaus näkee oman tulosteensa paluureitin. Jokaisesta päätteellesi tulostetusta rivistä tulee yksi tai useampi paketti hallintayhteydellä, jotka suodatin sitten täsmäyttää ja tulostaa uudelleen. Tuloksena on silmukka, joka kasvaa, kunnes puskuri tai linkki antaa periksi.

Siksi tiedostoon kirjoitettu kuvaus näyttää hyvältä ja sama kuvaus suoratoistettuna muuttuu käyttökelvottomaksi. Liikenne ei ole uutta; sinä loit sen. Kymmenen sekunnin kuvaus voi tuottaa enemmän tulostetta kuin linkki pystyy kantamaan, kun silmukka alkaa.

Rakenna poissulkeminen yhtenä ryhmänä

Aloita siitä, miten etäisäntä näkee istuntosi, älä paikallisen päätteesi osoitteesta. Hyppyisäntä tai NAT-laite voi tehdä vastapuolesta jotain, mitä et koskaan kirjoittanut, joten lue osoite etäpuolen omasta näkymästä. Ryhmittele sitten isäntä ja portti yhteen, jotta negaatio kohdistuu pariin.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Koko lausekkeen lainaaminen estää kuorta lukemasta sulkuja syntaksina. Tulosta suodatin uudelleen ennen kuin luotat tulokseen.

Suodatin, joka näyttää oikealta ja pitää kaiken

Väärä suodatin on se, joka luetaan luonnollisesti: lähde ei ole vastapuoli tai kohde ei ole vastapuoli. Työasemastasi tulevalle paketille ensimmäinen testi on tosi; vastaukselle toinen. Niiden yhdistäminen sanalla or pitää molemmat suunnat, mikä on juuri se, mitä halusit pudottaa.

pcap-suodatinlogiikka antaa and- ja or-operaattoreille saman etusijan ja arvioi vasemmalta oikealle, joten sulut eivät ole valinnaisia, kun sekoitat niitä. Kiellä yksi ryhmitelty lauseke kahden negaation yhdistämisen sijaan. Tämä yksi muutos erottaa toimivan suodattimen kuvauksesta, joka on täynnä omaa kirjoitustasi. pcap-suodatinviite on tarpeeksi lyhyt luettavaksi päätteessä ja kannattaa tarkistaa aina, kun suodatin käyttäytyy odottamatta.

Päätä sen mukaan, mitä kuvauksen on todistettava

Päätä, kuinka paljon jättää pois, kysymällä mitä kuvauksen on todistettava. Jos sinun on nähtävä sovellusliikennettä samaan isäntään, jätä pois vain SSH-portti ja hyväksy muiden istuntojen kohina. Jos isäntä on kysymyksen kannalta merkityksetön, sen kokonaan pois jättäminen on yksinkertaisempaa ja poistaa kokonaisen itse luotujen pakettien luokan. Kirjoita valinta kuvauksen tiedoston viereen, koska suodatin on oletus todisteista.

Rajapinnan valinta ratkaisee, mitä ylipäätään voit nähdä. Tunnelissa näet sisäisen liikenteen; fyysisellä rajapinnalla näet salatun siirtokerroksen. Jos hallintapaketit puuttuvat jo valitsemastasi kohdasta, mikään poissulkeminen ei korjaa väärälle kerrokselle kohdistettua kuvausta.