Ar reikėtų iš nuotolinio įrašymo pašalinti SSH srautą?

Įrašymas nuotolinėje mašinoje, kol stebite išvestį tuo pačiu ryšiu, yra į save nukreiptas matavimas, ir jis iškreipia tai, ką matuojate. Kiekvienas atspausdintas paketas grįžta per įrašomą sesiją. To srauto pašalinimas paprastai yra teisingas, bet pašalinimo dydis yra tikras sprendimas. Per siauras ir įrašymas užtvindo pats save; per platus ir įrodymai dingsta.

Kodėl įrašymas įrašo save

Įrašymas mato savo paties išvesties grįžimo kelią. Kiekviena eilutė, atspausdinta jūsų terminale, tampa vienu ar daugiau paketų valdymo ryšiu, kuriuos filtras tada sutapatina ir vėl atspausdina. Rezultatas yra kilpa, kuri auga, kol buferis arba linija pasiduoda.

Štai kodėl į failą įrašytas įrašymas atrodo gerai, o tas pats įrašymas transliuojamas tiesiogiai tampa netinkamas naudoti. Srautas nėra naujas; jūs jį sukūrėte. Dešimties sekundžių įrašymas gali sukurti daugiau išvesties, nei linija gali perduoti, kai tik prasideda kilpa.

Sukurkite pašalinimą kaip vieną grupę

Pradėkite nuo to, kaip nuotolinis hostas mato jūsų sesiją, o ne nuo adreso jūsų vietiniame terminale. Šuolio hostas arba NAT įrenginys gali padaryti priešininką kažkuo, ko niekada neįvedėte, todėl skaitykite adresą iš pačios nuotolinės pusės požiūrio. Tada sugrupuokite hostą ir prievadą kartu, kad neigimas būtų taikomas porai.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Visos išraiškos citavimas neleidžia apvalkalui skliaustų skaityti kaip sintaksės. Dar kartą atspausdinkite filtrą prieš pasitikėdami rezultatu.

Filtras, kuris atrodo teisingas ir palieka viską

Neteisingas filtras yra tas, kuris skaitomas natūraliai: šaltinis nėra priešininkas, arba paskirties vieta nėra priešininkas. Paketui iš jūsų darbo stoties pirmasis testas yra teisingas; atsakymui antrasis. Jų sujungimas su or palieka abi kryptis, o tai būtent tai, ką norėjote išmesti.

pcap filtro logika and ir or suteikia vienodą pirmumą ir vertina iš kairės į dešinę, todėl skliaustai nėra pasirinktiniai, kai juos maišote. Neigkite vieną sugrupuotą išraišką, o ne derinkite du neiginius. Tas vienas pakeitimas atskiria veikiantį filtrą nuo įrašymo, pilno jūsų pačių įvedimo. pcap filtro nuoroda yra pakankamai trumpa, kad ją perskaitytumėte terminale, ir verta patikrinti, kai filtras elgiasi netikėtai.

Nuspręskite pagal tai, ką įrašymas turi įrodyti

Nuspręskite, kiek pašalinti, klausdami, ką įrašymas turi įrodyti. Jei jums reikia matyti programų srautą į tą patį hostą, pašalinkite tik SSH prievadą ir priimkite kitų sesijų triukšmą. Jei hostas nesusijęs su klausimu, jį visiškai pašalinti yra paprasčiau, ir tai pašalina visą savarankiškai sugeneruotų paketų klasę. Užrašykite pasirinkimą šalia įrašymo failo, nes filtras yra prielaida apie įrodymus.

Sąsajos pasirinkimas apskritai lemia, ką galite matyti. Tunelyje matote vidinį srautą; fizinėje sąsajoje matote šifruotą perdavimą. Jei valdymo paketų jūsų pasirinktame taške jau nėra, joks pašalinimas nepataisys į netinkamą sluoksnį nukreipto įrašymo.