શું તમારે રિમોટ કેપ્ચરમાંથી SSH પ્રવાહ બાકાત રાખવો જોઈએ?

તમે તે જ કનેક્શન દ્વારા આઉટપુટ જોતા હો ત્યારે રિમોટ મશીન પર કેપ્ચર કરવું એ સ્વ-સંદર્ભિત માપ છે, અને તે તમે જે માપી રહ્યા છો તેને વિકૃત કરે છે. તમે છપાવેલું દરેક પેકેટ કેપ્ચર થતા સત્ર દ્વારા પાછું જાય છે. તે પ્રવાહને બાકાત રાખવો સામાન્ય રીતે યોગ્ય છે, પણ બાકાતનું કદ એ વાસ્તવિક નિર્ણય છે. ખૂબ સાંકડું અને કેપ્ચર પોતાને જ ડુબાડી દે છે; ખૂબ પહોળું અને પુરાવા અદૃશ્ય થઈ જાય છે.

કેપ્ચર કેમ પોતાને રેકોર્ડ કરે છે

કેપ્ચર પોતાના આઉટપુટનો પરત માર્ગ જુએ છે. તમારા ટર્મિનલ પર છપાતી દરેક લાઇન મેનેજમેન્ટ કનેક્શન પર એક કે વધુ પેકેટ બને છે, જેને ફિલ્ટર પછી મેળવે છે અને ફરી છાપે છે. પરિણામ એ લૂપ છે જે બફર કે લિંક હાર માને ત્યાં સુધી વધે છે.

એટલે જ ફાઇલમાં લખાયેલું કેપ્ચર સારું દેખાય છે અને એ જ કેપ્ચર સીધું સ્ટ્રીમ કરવામાં આવે ત્યારે નકામું બને છે. ટ્રાફિક નવો નથી; તે તમે બનાવ્યો છે. દસ સેકન્ડનું કેપ્ચર લૂપ શરૂ થાય પછી લિંક જેટલું વહન કરી શકે તેના કરતાં વધુ આઉટપુટ આપી શકે છે.

બાકાતને એક જ જૂથ તરીકે બનાવો

તમારા સ્થાનિક ટર્મિનલના સરનામાથી નહીં, પણ રિમોટ હોસ્ટ તમારું સત્ર કેવી રીતે જુએ છે તેનાથી શરૂ કરો. જમ્પ હોસ્ટ કે NAT ઉપકરણ સામેની બાજુને એવું બનાવી શકે છે જે તમે ક્યારેય લખ્યું ન હોય, તેથી સરનામું રિમોટ બાજુના પોતાના દૃષ્ટિકોણથી વાંચો. પછી હોસ્ટ અને પોર્ટને સાથે જૂથમાં રાખો જેથી નકાર જોડી પર લાગુ પડે.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

આખી અભિવ્યક્તિને અવતરણમાં મૂકવાથી શેલ કૌંસને વાક્યરચના તરીકે વાંચી શકતું નથી. પરિણામ પર ભરોસો કરતા પહેલા ફિલ્ટર ફરી છાપો.

જે ફિલ્ટર સાચું લાગે છે અને બધું જ રાખે છે

ખોટું ફિલ્ટર એ છે જે સ્વાભાવિક રીતે વંચાય છે: સ્રોત સામેની બાજુ નથી, અથવા ગંતવ્ય સામેની બાજુ નથી. તમારા વર્કસ્ટેશનથી આવતા પેકેટ માટે પ્રથમ પરીક્ષણ સાચું છે; જવાબ માટે બીજું. તેમને or સાથે જોડવાથી બંને દિશાઓ રહે છે, જે બરાબર એ જ છે જે તમે કાઢી નાખવા માંગતા હતા.

pcap ફિલ્ટર તર્ક and અને or ને સમાન પ્રાધાન્ય આપે છે અને ડાબેથી જમણે મૂલ્યાંકન કરે છે, તેથી તેમને ભેગા કરો ત્યારે કૌંસ વૈકલ્પિક નથી. બે નકારને જોડવાને બદલે એક જૂથબદ્ધ અભિવ્યક્તિને નકારો. તે એક જ ફેરફાર કાર્યરત ફિલ્ટરને તમારા પોતાના ટાઇપિંગથી ભરેલા કેપ્ચરથી અલગ પાડે છે. pcap ફિલ્ટર સંદર્ભ ટર્મિનલમાં વાંચવા માટે પૂરતું ટૂંકું છે અને ફિલ્ટર અણધારી રીતે વર્તે ત્યારે તપાસવા જેવું છે.

કેપ્ચરે શું સાબિત કરવું છે તેના પરથી નિર્ણય કરો

કેપ્ચરે શું સાબિત કરવું છે તે પૂછીને નક્કી કરો કે કેટલું બાકાત રાખવું. જો તમારે એ જ હોસ્ટ પર એપ્લિકેશન ટ્રાફિક જોવો હોય, તો ફક્ત SSH પોર્ટ બાકાત રાખો અને બીજા સત્રોનો ઘોંઘાટ સ્વીકારો. જો પ્રશ્ન માટે હોસ્ટ અપ્રસ્તુત હોય, તો તેને સંપૂર્ણ બાકાત રાખવું સરળ છે અને સ્વ-ઉત્પન્ન પેકેટોનો આખો વર્ગ દૂર થાય છે. પસંદગી કેપ્ચર ફાઇલની બાજુમાં લખો, કારણ કે ફિલ્ટર પુરાવા વિશેની ધારણા છે.

ઇન્ટરફેસની પસંદગી જ નક્કી કરે છે કે તમે બિલકુલ શું જોઈ શકો. ટનલ પર તમે આંતરિક ટ્રાફિક જુઓ છો; ભૌતિક ઇન્ટરફેસ પર તમે એન્ક્રિપ્ટેડ ટ્રાન્સપોર્ટ જુઓ છો. જો તમે પસંદ કરેલા બિંદુ પર મેનેજમેન્ટ પેકેટો પહેલેથી ગેરહાજર હોય, તો કોઈ પણ બાકાત ખોટા સ્તરને લક્ષ્ય બનાવેલા કેપ્ચરને સુધારી શકશે નહીં.