Debes excluír o fluxo SSH dunha captura remota?

Capturar nunha máquina remota mentres observas a saída pola mesma conexión é unha medición autorreferencial, e distorsiona o que estás medindo. Cada paquete que imprimes viaxa de volta pola sesión que se está capturando. Excluír ese fluxo adoita ser correcto, pero o tamaño da exclusión é unha decisión real. Demasiado estreita e a captura inúndase a si mesma; demasiado ampla e a evidencia desaparece.

Por que a captura se rexistra a si mesma

A captura ve a ruta de volta da súa propia saída. Cada liña impresa no teu terminal convértese nun ou máis paquetes na conexión de xestión, que o filtro despois emparexa e volve imprimir. O resultado é un bucle que medra ata que o búfer ou a ligazón ceden.

Por iso unha captura escrita nun ficheiro parece correcta e a mesma captura emitida en directo volve inutilizable. O tráfico non é novo; creouno ti. Unha captura de dez segundos pode producir máis saída do que a ligazón pode soportar unha vez que comeza o bucle.

Constrúe a exclusión como un só grupo

Comeza por como o host remoto ve a túa sesión, non pola dirección do teu terminal local. Un host de salto ou un dispositivo NAT poden facer que a contraparte sexa algo que nunca escribiches, así que le a dirección desde a propia visión do lado remoto. Despois agrupa o host e o porto xuntos para que a negación se aplique ao par.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Citar toda a expresión evita que a shell lea os parénteses como sintaxe. Volve imprimir o filtro antes de confiar no resultado.

O filtro que parece correcto e conserva todo

O filtro equivocado é o que se le de forma natural: a orixe non é a contraparte, ou o destino non é a contraparte. Para un paquete da túa estación de traballo a primeira proba é verdadeira; para a resposta, a segunda. Unilos con or conserva as dúas direccións, que é exactamente o que querías descartar.

A lóxica do filtro pcap dá a and e or a mesma precedencia e avalía de esquerda a dereita, así que os parénteses non son opcionais cando os mesturas. Nega unha expresión agrupada en lugar de combinar dúas negacións. Ese único cambio separa un filtro que funciona dunha captura chea da túa propia escritura. referencia do filtro pcap é o bastante curta para lela no terminal e paga a pena consultala sempre que un filtro se comporte de forma inesperada.

Decide segundo o que a captura debe demostrar

Decide canto excluír preguntando que debe demostrar a captura. Se necesitas ver tráfico de aplicacións cara ao mesmo host, exclúe só o porto SSH e acepta o ruído doutras sesións. Se o host é irrelevante para a pregunta, excluílo por completo é máis simple e elimina toda unha clase de paquetes autoxerados. Escribe a elección xunto ao ficheiro de captura, porque un filtro é unha suposición sobre a evidencia.

A elección de interface decide o que podes ver. No túnel ves o tráfico interno; na interface física ves o transporte cifrado. Se os paquetes de xestión xa están ausentes no punto que escolliches, ningunha exclusión arranxará unha captura dirixida á capa equivocada.