SSH ағынын қашықтан жазудан шығарып тастау керек пе?

Шығысты сол қосылым арқылы бақылап отырып, қашықтағы машинада жазу — өзіне сілтейтін өлшеу, және ол өлшеп жатқан нәрсені бұрмалайды. Басып шығарған әрбір пакет жазылып жатқан сеанс арқылы қайтады. Бұл ағынды шығарып тастау әдетте дұрыс, бірақ шығару көлемі нақты шешім. Тым тар болса, жазу өзін су басады; тым кең болса, дәлелдер жоғалады.

Жазу неге өзін жазады

Жазу өз шығысының қайтару жолын көреді. Терминалыңызға басылған әрбір жол басқару қосылымында бір немесе бірнеше пакетке айналады, сүзгі оларды сәйкестендіріп, қайта басып шығарады. Нәтиже — буфер немесе желі берілмейінше өсетін цикл.

Сондықтан файлға жазылған жазу жақсы көрінеді, ал сол жазу тікелей таратылғанда жарамсыз болады. Трафик жаңа емес; оны сіз жасадыңыз. Он секундтық жазу цикл басталғаннан кейін желі көтере алатыннан көбірек шығыс өндіруі мүмкін.

Шығаруды бір топ ретінде құрыңыз

Жергілікті терминалыңыздағы мекенжайдан емес, қашықтағы хост сеансыңызды қалай көретінінен бастаңыз. Секіру хосты немесе NAT құрылғысы қарсы жақты сіз ешқашан термеген нәрсеге айналдыруы мүмкін, сондықтан мекенжайды қашықтағы жақтың өз көзқарасынан оқыңыз. Содан кейін хост пен портты бірге топтастырыңыз, терістеу жұпқа қолданылсын.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Бүкіл өрнекті тырнақшаға алу қабықтың жақшаларды синтаксис ретінде оқуына жол бермейді. Нәтижеге сенбес бұрын сүзгіні қайта басып шығарыңыз.

Дұрыс көрінетін және бәрін сақтайтын сүзгі

Қате сүзгі — табиғи оқылатыны: дереккөз қарсы жақ емес, немесе тағайындалу қарсы жақ емес. Жұмыс станцияңыздан келген пакет үшін бірінші сынақ ақиқат; жауап үшін екіншісі. Оларды or арқылы біріктіру екі бағытты да сақтайды, бұл дәл сіз тастағыңыз келген нәрсе.

pcap сүзгі логикасы and мен or-ға бірдей басымдық береді және солдан оңға бағалайды, сондықтан оларды араластырғанда жақша міндетті. Екі терістеуді біріктірудің орнына бір топтастырылған өрнекті теріске шығарыңыз. Сол бір өзгеріс жұмыс істейтін сүзгіні өз теріміңізге толы жазбадан ажыратады. pcap сүзгісінің анықтамасы терминалда оқуға жеткілікті қысқа және сүзгі күтпеген әрекет жасағанда тексеруге тұрарлық.

Жазба нені дәлелдеуі керектігіне қарай шешіңіз

Қаншасын шығарып тастауды жазба нені дәлелдеуі керек деп сұрау арқылы шешіңіз. Сол хостқа қосымша трафигін көру қажет болса, тек SSH портын шығарып тастаңыз және басқа сеанстардың шусын қабылдаңыз. Хост сұраққа қатыссыз болса, оны толық шығарып тастау қарапайым және өзінен пайда болған пакеттердің бүкіл класын алып тастайды. Таңдауды жазу файлының қасына жазыңыз, өйткені сүзгі дәлелдер туралы болжам.

Интерфейс таңдауы нені мүлдем көре алатыныңызды анықтайды. Туннельде ішкі трафикті көресіз; физикалық интерфейсте шифрланған тасымалды көресіз. Егер басқару пакеттері сіз таңдаған нүктеде әлдеқашан жоқ болса, ешбір шығару қате қабатқа бағытталған жазбаны түзетпейді.