क्या आपको रिमोट कैप्चर से SSH प्रवाह बाहर रखना चाहिए?

एक ही कनेक्शन से आउटपुट देखते हुए दूर की मशीन पर कैप्चर करना एक स्व-संदर्भीय माप है, और यह उस चीज़ को विकृत करता है जिसे आप माप रहे हैं। आप जो भी पैकेट छापते हैं वह उसी सत्र से होकर लौटता है जिसे कैप्चर किया जा रहा है। उस प्रवाह को बाहर रखना आमतौर पर सही है, लेकिन बहिष्कार का आकार एक असली निर्णय है। बहुत संकीर्ण और कैप्चर स्वयं को डुबो देता है; बहुत चौड़ा और सबूत गायब हो जाते हैं।

कैप्चर स्वयं को क्यों रिकॉर्ड करता है

कैप्चर अपने ही आउटपुट का वापसी मार्ग देखता है। आपके टर्मिनल पर छपी हर पंक्ति प्रबंधन कनेक्शन पर एक या अधिक पैकेट बन जाती है, जिन्हें फ़िल्टर फिर मिलाता है और दोबारा छापता है। परिणाम एक लूप है जो तब तक बढ़ता है जब तक बफ़र या लिंक हार न मान लें।

इसीलिए फ़ाइल में लिखा कैप्चर अच्छा दिखता है और वही कैप्चर लाइव स्ट्रीम करने पर बेकार हो जाता है। ट्रैफ़िक नया नहीं है; इसे आपने बनाया है। दस सेकंड का कैप्चर लूप शुरू होने के बाद लिंक जितना ले जा सकता है उससे अधिक आउटपुट दे सकता है।

बहिष्कार को एक समूह के रूप में बनाएं

शुरुआत इस बात से करें कि दूरस्थ होस्ट आपका सत्र कैसे देखता है, न कि आपके स्थानीय टर्मिनल के पते से। जंप होस्ट या NAT उपकरण सामने वाले पक्ष को कुछ ऐसा बना सकते हैं जो आपने कभी नहीं लिखा, इसलिए पता दूरस्थ पक्ष के अपने दृष्टिकोण से पढ़ें। फिर होस्ट और पोर्ट को एक साथ समूहित करें ताकि निषेध जोड़ी पर लागू हो।

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

पूरी अभिव्यक्ति को उद्धृत करने से शेल कोष्ठकों को वाक्यविन्यास के रूप में नहीं पढ़ता। परिणाम पर भरोसा करने से पहले फ़िल्टर को फिर से छापें।

वह फ़िल्टर जो सही दिखता है और सब कुछ रखता है

गलत फ़िल्टर वह है जो स्वाभाविक रूप से पढ़ा जाता है: स्रोत सामने वाला पक्ष नहीं है, या गंतव्य सामने वाला पक्ष नहीं है। आपके वर्कस्टेशन से आने वाले पैकेट के लिए पहली परीक्षा सत्य है; उत्तर के लिए दूसरी। उन्हें or से जोड़ने से दोनों दिशाएँ बनी रहती हैं, जो ठीक वही है जिसे आप गिराना चाहते थे।

pcap फ़िल्टर तर्क and और or को समान प्राथमिकता देता है और बाएँ से दाएँ मूल्यांकन करता है, इसलिए जब आप उन्हें मिलाते हैं तो कोष्ठक वैकल्पिक नहीं हैं। दो निषेधों को जोड़ने के बजाय एक समूहित अभिव्यक्ति का निषेध करें। यही एक बदलाव काम करने वाले फ़िल्टर को आपकी अपनी टाइपिंग से भरे कैप्चर से अलग करता है। pcap फ़िल्टर संदर्भ टर्मिनल में पढ़ने के लिए काफ़ी छोटा है और जब भी कोई फ़िल्टर अप्रत्याशित व्यवहार करे तो जाँचने योग्य है।

इस बात से तय करें कि कैप्चर को क्या साबित करना है

यह पूछकर तय करें कि कितना बाहर रखना है कि कैप्चर को क्या साबित करना है। यदि आपको उसी होस्ट तक अनुप्रयोग ट्रैफ़िक देखना है, तो केवल SSH पोर्ट बाहर रखें और अन्य सत्रों का शोर स्वीकार करें। यदि प्रश्न के लिए होस्ट अप्रासंगिक है, तो उसे पूरी तरह बाहर रखना सरल है और स्व-उत्पन्न पैकेटों का पूरा वर्ग हट जाता है। चुनाव को कैप्चर फ़ाइल के बगल में लिखें, क्योंकि फ़िल्टर सबूत के बारे में एक धारणा है।

इंटरफ़ेस का चुनाव ही तय करता है कि आप क्या देख सकते हैं. टनल पर आप भीतरी ट्रैफ़िक देखते हैं; भौतिक इंटरफ़ेस पर आप एन्क्रिप्टेड ट्रांसपोर्ट देखते हैं। यदि आपके चुने हुए बिंदु पर प्रबंधन पैकेट पहले से अनुपस्थित हैं, तो कोई भी बहिष्कार गलत परत पर लक्षित कैप्चर को ठीक नहीं करेगा।