Haruskah Anda mengecualikan aliran SSH dari capture jarak jauh?

Menangkap paket di mesin jarak jauh sambil memantau output melalui koneksi yang sama adalah pengukuran yang merujuk dirinya sendiri, dan itu mendistorsi apa yang Anda ukur. Setiap paket yang Anda cetak kembali melalui sesi yang sedang ditangkap. Mengecualikan aliran itu biasanya benar, tetapi ukuran pengecualiannya adalah keputusan nyata. Terlalu sempit dan capture membanjiri dirinya sendiri; terlalu lebar dan buktinya hilang.

Mengapa capture merekam dirinya sendiri

Capture melihat jalur balik dari outputnya sendiri. Setiap baris yang dicetak ke terminal Anda menjadi satu atau lebih paket pada koneksi manajemen, yang kemudian dicocokkan filter dan dicetak lagi. Hasilnya adalah loop yang tumbuh sampai buffer atau tautan menyerah.

Itulah sebabnya capture yang ditulis ke file terlihat baik-baik saja dan capture yang sama yang dialirkan langsung menjadi tidak dapat digunakan. Trafiknya bukan baru; Anda yang membuatnya. Capture sepuluh detik dapat menghasilkan output lebih banyak daripada yang dapat dibawa tautan setelah loop dimulai.

Bangun pengecualian sebagai satu grup

Mulailah dari bagaimana host jarak jauh melihat sesi Anda, bukan dari alamat di terminal lokal Anda. Host lompat atau perangkat NAT dapat membuat pihak lawan menjadi sesuatu yang tidak pernah Anda ketik, jadi bacalah alamat dari sudut pandang sisi jarak jauh itu sendiri. Lalu kelompokkan host dan port bersama-sama agar negasinya berlaku untuk pasangan itu.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Mengutip seluruh ekspresi mencegah shell membaca tanda kurung sebagai sintaks. Cetak ulang filter sebelum Anda memercayai hasilnya.

Filter yang terlihat benar dan menyimpan semuanya

Filter yang salah adalah yang terbaca wajar: sumber bukan pihak lawan, atau tujuan bukan pihak lawan. Untuk paket dari stasiun kerja Anda uji pertama benar; untuk balasannya uji kedua. Menggabungkannya dengan or mempertahankan kedua arah, yang justru ingin Anda buang.

Logika filter pcap memberi and dan or prioritas yang sama dan mengevaluasi dari kiri ke kanan, jadi tanda kurung bukan pilihan saat Anda mencampurnya. Negasikan satu ekspresi yang dikelompokkan alih-alih menggabungkan dua negasi. Perubahan tunggal itu memisahkan filter yang berfungsi dari capture yang penuh dengan ketikan Anda sendiri. referensi filter pcap cukup pendek untuk dibaca di terminal dan layak diperiksa setiap kali filter berperilaku tak terduga.

Putuskan berdasarkan apa yang harus dibuktikan capture

Putuskan berapa banyak yang dikecualikan dengan bertanya apa yang harus dibuktikan capture. Jika Anda perlu melihat trafik aplikasi ke host yang sama, kecualikan hanya port SSH dan terimalah derau dari sesi lain. Jika host tidak relevan dengan pertanyaan, mengecualikannya sepenuhnya lebih sederhana dan menghapus seluruh kelas paket yang dihasilkan sendiri. Tuliskan pilihan itu di samping file capture, karena filter adalah asumsi tentang bukti.

Pilihan antarmuka menentukan apa yang bisa Anda lihat sama sekali. Di terowongan Anda melihat trafik dalam; di antarmuka fisik Anda melihat transport terenkripsi. Jika paket manajemen sudah tidak ada di titik yang Anda pilih, tidak ada pengecualian yang akan memperbaiki capture yang diarahkan ke lapisan yang salah.