უნდა გამოვრიცხოთ თუ არა SSH ნაკადი დისტანციური ჩაწერიდან?

დისტანციურ მანქანაზე ჩაწერა, სანამ გამოსავალს იმავე კავშირით უყურებთ, თვითმიმართი გაზომვაა და ამახინჯებს იმას, რასაც ზომავთ. ყოველი პაკეტი, რომელსაც ბეჭდავთ, უბრუნდება იმ სესიას, რომელიც იწერება. ამ ნაკადის გამორიცხვა ჩვეულებრივ სწორია, მაგრამ გამორიცხვის ზომა ნამდვილი გადაწყვეტილებაა. ძალიან ვიწრო და ჩაწერა თავს ატბობს; ძალიან ფართო და მტკიცებულებები ქრება.

რატომ იწერს ჩაწერა საკუთარ თავს

ჩაწერა ხედავს საკუთარი გამოსავალის დაბრუნების გზას. თქვენს ტერმინალში დაბეჭდილი ყოველი ხაზი ხდება ერთი ან მეტი პაკეტი მართვის კავშირზე, რომლებსაც ფილტრი შემდეგ ემთხვევა და ისევ ბეჭდავს. შედეგი არის ციკლი, რომელიც იზრდება მანამ, სანამ ბუფერი ან ხაზი დანებდება.

ამიტომ ფაილში ჩაწერილი ჩაწერა კარგად გამოიყურება, ხოლო იგივე ჩაწერა პირდაპირ ტრანსლაციაში გამოუსადეგარი ხდება. ტრაფიკი ახალი არ არის; თქვენ შექმენით ის. ათწამიან ჩაწერას შეუძლია მეტი გამოსავალი წარმოქმნას, ვიდრე ხაზს გადატანა შეუძლია, როგორც კი ციკლი დაიწყება.

ააგეთ გამორიცხვა ერთ ჯგუფად

დაიწყეთ იმით, თუ როგორ ხედავს დისტანციური ჰოსტი თქვენს სესიას და არა თქვენი ლოკალური ტერმინალის მისამართით. გადასვლის ჰოსტს ან NAT მოწყობილობას შეუძლია მოწინააღმდეგე გახადოს ის, რაც არასოდეს აკრიფეთ, ამიტომ მისამართი წაიკითხეთ დისტანციური მხარის საკუთარი ხედვიდან. შემდეგ დააჯგუფეთ ჰოსტი და პორტი ერთად, რათა უარყოფა წყვილზე ვრცელდებოდეს.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

მთელი გამოსახულების ბრჭყალებში ჩასმა ხელს უშლის ჭურვს ფრჩხილები სინტაქსად წაიკითხოს. კვლავ დაბეჭდეთ ფილტრი, სანამ შედეგს დაეყრდნობით.

ფილტრი, რომელიც სწორად გამოიყურება და ყველაფერს ინახავს

არასწორი ფილტრი არის ის, რომელიც ბუნებრივად იკითხება: წყარო მოწინააღმდეგე არ არის, ან დანიშნულება მოწინააღმდეგე არ არის. თქვენი სამუშაო სადგურიდან პაკეტისთვის პირველი ტესტი ჭეშმარიტია; პასუხისთვის მეორე. მათი or-ით შეერთება ინარჩუნებს ორივე მიმართულებას, რაც ზუსტად ის არის, რაც გსურდათ გადაგეგდოთ.

pcap ფილტრის ლოგიკა and-სა და or-ს თანაბარ უპირატესობას აძლევს და აფასებს მარცხნიდან მარჯვნივ, ამიტომ ფრჩხილები სავალდებულოა, როცა მათ ურევთ. უარყავით ერთი დაჯგუფებული გამოსახულება ორი უარყოფის შეერთების ნაცვლად. ეს ერთი ცვლილება აცილებს მომუშავე ფილტრს თქვენივე აკრეფით სავსე ჩაწერას. pcap ფილტრის ცნობარი საკმარისად მოკლეა ტერმინალში წასაკითხად და ღირს შემოწმება, როცა ფილტრი მოულოდნელად იქცევა.

გადაწყვიტეთ იმის მიხედვით, რა უნდა დაამტკიცოს ჩაწერამ

გადაწყვიტეთ რამდენი გამორიცხოთ იმის კითხვით, რა უნდა დაამტკიცოს ჩაწერამ. თუ გჭირდებათ იმავე ჰოსტზე აპლიკაციების ტრაფიკის ნახვა, გამორიცხეთ მხოლოდ SSH პორტი და მიიღეთ სხვა სესიების ხმაური. თუ ჰოსტს კითხვასთან კავშირი არ აქვს, მთლიანად გამორიცხვა უფრო მარტივია და აშორებს თვითწარმოქმნილი პაკეტების მთელ კლასს. ჩაწერეთ არჩევანი ჩაწერის ფაილის გვერდით, რადგან ფილტრი მტკიცებულებების შესახებ ვარაუდია.

ინტერფეისის არჩევანი განსაზღვრავს, თუ რისი ნახვა შეგიძლიათ საერთოდ. გვირაბში ხედავთ შიდა ტრაფიკს; ფიზიკურ ინტერფეისში ხედავთ დაშიფრულ ტრანსპორტს. თუ მართვის პაკეტები უკვე არ არის თქვენს მიერ არჩეულ წერტილში, არც ერთი გამორიცხვა არ გაასწორებს არასწორ ფენაზე მიმართულ ჩაწერას.