Ki kellene zárni az SSH-forgalmat egy távoli rögzítésből?

Távoli gépen rögzíteni, miközben ugyanazon a kapcsolaton figyeli a kimenetet, önreferenciális mérés, és torzítja azt, amit mér. Minden kinyomtatott csomag visszahalad a rögzített munkameneten. Az adott forgalom kizárása általában helyes, de a kizárás mérete valódi döntés. Túl szűk, és a rögzítés elárasztja önmagát; túl széles, és a bizonyíték eltűnik.

Miért rögzíti a rögzítés önmagát

A rögzítés a saját kimenetének visszaútját látja. Minden sor, amely a termináljára kerül, egy vagy több csomaggá válik a felügyeleti kapcsolaton, amelyet a szűrő aztán illeszt és újra kinyomtat. Az eredmény egy hurok, amely addig nő, amíg a puffer vagy a kapcsolat fel nem adja.

Ezért néz ki jól egy fájlba írt rögzítés, és válik használhatatlanná ugyanaz a rögzítés élőben streamelve. A forgalom nem új; ön hozta létre. Egy tíz másodperces rögzítés több kimenetet termelhet, mint amennyit a kapcsolat elbír, amint a hurok elindul.

Építse fel a kizárást egyetlen csoportként

Onnan induljon, ahogy a távoli gazdagép látja a munkamenetét, ne a helyi termináljában lévő címből. Egy ugrógazdagép vagy egy NAT-eszköz olyanná teheti a partnert, amit soha nem gépelt be, ezért a címet a távoli oldal saját nézetéből olvassa ki. Ezután csoportosítsa a gazdagépet és a portot együtt, hogy a tagadás a párra vonatkozzon.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

A teljes kifejezés idézőjelbe tétele megakadályozza, hogy a héj szintaxisként olvassa a zárójeleket. Nyomtassa ki újra a szűrőt, mielőtt megbízik az eredményben.

A szűrő, amely helyesnek látszik, és mindent megtart

A rossz szűrő az, amely természetesen olvasható: a forrás nem a partner, vagy a cél nem a partner. A munkaállomásáról érkező csomag esetében az első vizsgálat igaz; a válasz esetében a második. Az or-ral való összekapcsolásuk mindkét irányt megtartja, ami pontosan az, amit el akart dobni.

A pcap szűrőlogika az and és az or számára egyenlő elsőbbséget ad, és balról jobbra értékel, ezért a zárójelek nem választhatók, amikor keveri őket. Egyetlen csoportosított kifejezést tagadjon, ahelyett hogy két tagadást kombinálna. Ez az egyetlen változtatás választja el a működő szűrőt a saját gépelésével teli rögzítéstől. pcap szűrőreferencia elég rövid ahhoz, hogy elolvassa a terminálban, és érdemes megnézni, valahányszor egy szűrő váratlanul viselkedik.

Aszerint döntsön, mit kell a rögzítésnek bizonyítania

Aszerint döntse el, mennyit zár ki, hogy mit kell a rögzítésnek bizonyítania. Ha ugyanahhoz a gazdagéphez irányuló alkalmazásforgalmat kell látnia, csak az SSH-portot zárja ki, és fogadja el a többi munkamenet zaját. Ha a gazdagép lényegtelen a kérdés szempontjából, a teljes kizárása egyszerűbb, és eltávolít egy egész osztályt az önmagától létrejövő csomagokból. Írja a választást a rögzítési fájl mellé, mert a szűrő a bizonyítékokra vonatkozó feltevés.

Az interfész választása dönti el, mit láthat egyáltalán. Az alagúton a belső forgalmat látja; a fizikai interfészen a titkosított átvitelt. Ha a felügyeleti csomagok már hiányoznak a választott ponton, egyetlen kizárás sem javít egy rossz rétegre irányuló rögzítést.