Արդյո՞ք պետք է բացառել SSH հոսքը հեռավոր գրանցումից

Հեռավոր մեքենայի վրա գրանցում կատարելը, մինչ դիտում եք ելքը նույն կապով, ինքնահղումային չափում է, և այն աղավաղում է այն, ինչ չափում եք: Ձեր տպած յուրաքանչյուր փաթեթ վերադառնում է գրանցվող սեսիայի միջով: Այդ հոսքը բացառելը սովորաբար ճիշտ է, բայց բացառման չափը իրական որոշում է: Չափից նեղ՝ գրանցումը հեղեղում է ինքն իրեն. չափից լայն՝ ապացույցները անհետանում են:

Ինչու է գրանցումը գրանցում ինքն իրեն

Գրանցումը տեսնում է իր իսկ ելքի վերադարձի ուղին: Ձեր տերմինալում տպված յուրաքանչյուր տող դառնում է մեկ կամ ավելի փաթեթ կառավարման կապում, որոնք ֆիլտրը հետո համապատասխանեցնում և նորից տպում է: Արդյունքը հանգույց է, որն աճում է այնքան, մինչև բուֆերը կամ կապը հանձնվեն:

Այդ պատճառով ֆայլում գրված գրանցումը լավ տեսք ունի, իսկ նույն գրանցումը ուղիղ հեռարձակմամբ դառնում է անօգտագործելի: Երթևեկությունը նոր չէ. դուք եք այն ստեղծել: Տասը վայրկյանանոց գրանցումը կարող է ավելի շատ ելք արտադրել, քան կապը կարող է կրել, հենց որ հանգույցը սկսվի:

Կառուցեք բացառումը որպես մեկ խումբ

Սկսեք նրանից, թե ինչպես է հեռավոր հոսթը տեսնում ձեր սեսիան, ոչ թե ձեր տեղական տերմինալի հասցեից: Թռիչքային հոսթը կամ NAT սարքը կարող են հակառակորդին դարձնել մի բան, որը դուք երբեք չեք մուտքագրել, ուստի հասցեն կարդացեք հեռավոր կողմի սեփական տեսանկյունից: Այնուհետև խմբավորեք հոսթն ու պորտը միասին, որպեսզի ժխտումը կիրառվի զույգի նկատմամբ:

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Ամբողջ արտահայտությունը չակերտների մեջ դնելը խանգարում է shell-ին փակագծերը որպես շարահյուսություն կարդալ: Նորից տպեք ֆիլտրը նախքան արդյունքին վստահելը:

Ֆիլտրը, որը ճիշտ է թվում և պահում է ամեն ինչ

Սխալ ֆիլտրը այն է, որը բնական է կարդացվում՝ աղբյուրը հակառակորդը չէ, կամ նպատակակետը հակառակորդը չէ: Ձեր աշխատանքային կայանից եկող փաթեթի համար առաջին թեստը ճշմարիտ է. պատասխանի համար՝ երկրորդը: Նրանց or-ով միացնելը պահպանում է երկու ուղղությունները, ինչը հենց այն է, ինչ ուզում էիք գցել:

pcap ֆիլտրի տրամաբանությունը and-ին և or-ին տալիս է հավասար առաջնահերթություն և գնահատում է ձախից աջ, ուստի փակագծերը պարտադիր են, երբ խառնում եք դրանք: Ժխտեք մեկ խմբավորված արտահայտություն՝ երկու ժխտում միացնելու փոխարեն: Այդ մեկ փոփոխությունը առանձնացնում է աշխատող ֆիլտրը ձեր իսկ մուտքագրումով լցված գրանցումից: pcap ֆիլտրի տեղեկանք բավական կարճ է տերմինալում կարդալու համար և արժե ստուգել, երբ ֆիլտրը անսպասելի է վարվում:

Որոշեք ըստ այն բանի, ինչ պետք է ապացուցի գրանցումը

Որոշեք, թե որքան բացառել՝ հարցնելով, ինչ պետք է ապացուցի գրանցումը: Եթե պետք է տեսնեք հավելվածների երթևեկությունը նույն հոսթին, բացառեք միայն SSH պորտը և ընդունեք այլ սեսիաների աղմուկը: Եթե հոսթը կապ չունի հարցի հետ, ամբողջությամբ բացառելը ավելի պարզ է և հեռացնում է ինքնաստեղծ փաթեթների մի ամբողջ դաս: Գրեք ընտրությունը գրանցման ֆայլի կողքին, որովհետև ֆիլտրը ապացույցների մասին ենթադրություն է:

Ինտերֆեյսի ընտրությունը որոշում է, թե ինչ կարող եք ընդհանրապես տեսնել. Թունելում տեսնում եք ներքին երթևեկությունը. ֆիզիկական ինտերֆեյսում՝ գաղտնագրված տրանսպորտը: Եթե կառավարման փաթեթներն արդեն բացակայում են ձեր ընտրած կետում, ոչ մի բացառում չի ուղղի սխալ շերտին ուղղված գրանցումը: