Treba li izuzeti SSH tok iz udaljenog snimanja?

Snimanje na udaljenom računaru dok gledate izlaz kroz istu vezu jeste samoreferentno mjerenje i iskrivljuje ono što mjerite. Svaki paket koji ispišete putuje natrag kroz sesiju koja se snima. Izuzimanje tog toka obično je ispravno, ali veličina izuzetka je stvarna odluka. Preusko i snimanje se samo preplavi; preširoko i dokazi nestanu.

Zašto snimanje snima samo sebe

Snimanje vidi povratni put vlastitog izlaza. Svaki red ispisan na vaš terminal postaje jedan ili više paketa na upravljačkoj vezi, koje filter zatim poklapa i ponovo ispisuje. Rezultat je petlja koja raste dok bafer ili veza ne popuste.

Zato snimanje zapisano u datoteku izgleda dobro, a isto snimanje prenošeno uživo postaje neupotrebljivo. Saobraćaj nije nov; vi ste ga stvorili. Desetosekundno snimanje može proizvesti više izlaza nego što veza može podnijeti kad petlja počne.

Izgradite izuzetak kao jednu grupu

Pođite od toga kako udaljeni host vidi vašu sesiju, a ne od adrese u vašem lokalnom terminalu. Skočni host ili NAT uređaj mogu učiniti da druga strana bude nešto što nikada niste upisali, zato pročitajte adresu iz vlastitog pogleda udaljene strane. Zatim grupišite host i port zajedno kako bi se negacija primijenila na par.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Pod navodnicima cijeli izraz sprječava ljusku da zagrade čita kao sintaksu. Ispišite filter ponovo prije nego što povjerujete rezultatu.

Filter koji izgleda ispravno i zadržava sve

Pogrešan filter je onaj koji se čita prirodno: izvor nije druga strana ili odredište nije druga strana. Za paket s vaše radne stanice prvi test je istinit; za odgovor drugi. Spajanje pomoću or zadržava oba smjera, što je upravo ono što ste namjeravali odbaciti.

Logika pcap filtera daje and i or jednaku prednost i vrednuje slijeva nadesno, pa zagrade nisu opcione kada ih miješate. Negirajte jedan grupisani izraz umjesto da kombinujete dvije negacije. Ta jedna promjena razdvaja ispravan filter od snimanja punog vlastitog tipkanja. referenca za pcap filter je dovoljno kratka da se pročita u terminalu i vrijedi je provjeriti kad se filter ponaša neočekivano.

Odlučite prema onome što snimanje mora dokazati

Odlučite koliko ćete izuzeti pitajući šta snimanje mora dokazati. Ako trebate vidjeti aplikacijski saobraćaj prema istom hostu, izuzmite samo SSH port i prihvatite šum drugih sesija. Ako je host nebitan za pitanje, potpuno izuzimanje je jednostavnije i uklanja čitavu klasu samostvorenih paketa. Zapišite izbor uz datoteku snimanja, jer filter je pretpostavka o dokazima.

Izbor interfejsa odlučuje šta uopšte možete vidjeti. U tunelu vidite unutrašnji saobraćaj; na fizičkom interfejsu vidite šifrovani transport. Ako upravljački paketi već nedostaju na mjestu koje ste odabrali, nikakvo izuzimanje neće popraviti snimanje usmjereno na pogrešan sloj.