Vai SSH plūsma jāizslēdz no attālinātas ierakstīšanas?

Ierakstīšana attālinātā mašīnā, kamēr skatāties izvadi pa to pašu savienojumu, ir uz sevi vērsta mērīšana, un tā izkropļo to, ko mērāt. Katrs izdrukātais pakete atgriežas pa ierakstīto sesiju. Šīs plūsmas izslēgšana parasti ir pareiza, bet izslēgšanas apjoms ir īsts lēmums. Pārāk šaurs, un ieraksts pārpludina pats sevi; pārāk plats, un pierādījumi pazūd.

Kāpēc ieraksts ieraksta pats sevi

Ieraksts redz savas izvades atgriešanās ceļu. Katra rinda, kas izdrukāta jūsu terminālī, kļūst par vienu vai vairākiem paketēm pārvaldības savienojumā, kurus filtrs pēc tam saskaņo un izdrukā vēlreiz. Rezultāts ir cilpa, kas aug, līdz buferis vai līnija padodas.

Tāpēc failā ierakstīts ieraksts izskatās labi, bet tas pats ieraksts tiešraidē kļūst neizmantojams. Trafiks nav jauns; jūs to radījāt. Desmit sekunžu ieraksts var radīt vairāk izvades, nekā līnija spēj pārnēsāt, tiklīdz sākas cilpa.

Veidojiet izslēgšanu kā vienu grupu

Sāciet ar to, kā attālinātais resursdators redz jūsu sesiju, nevis ar adresi jūsu vietējā terminālī. Lēciena resursdators vai NAT ierīce var padarīt pretējo pusi par kaut ko, ko jūs nekad neesat ievadījis, tāpēc lasiet adresi no attālinātās puses pašas skatījuma. Pēc tam grupējiet resursdatoru un portu kopā, lai noliegums attiektos uz pāri.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Visas izteiksmes citēšana neļauj čaulai iekavas lasīt kā sintaksi. Izdrukājiet filtru vēlreiz, pirms uzticaties rezultātam.

Filtrs, kas izskatās pareizs un patur visu

Nepareizais filtrs ir tas, kas tiek lasīts dabiski: avots nav pretējā puse, vai galamērķis nav pretējā puse. Paketei no jūsu darbstacijas pirmais tests ir patiess; atbildei otrais. To savienošana ar or patur abus virzienus, un tas ir tieši tas, ko gribējāt izmest.

pcap filtra loģika piešķir and un or vienādu prioritāti un vērtē no kreisās uz labo, tāpēc iekavas nav obligātas, kad tās sajaucat. Noliedziet vienu grupētu izteiksmi, nevis apvienojiet divus noliegumus. Šī vienīgā izmaiņa atdala strādājošu filtru no ieraksta, kas pilns ar jūsu pašu rakstīto. pcap filtra atsauce ir pietiekami īsa, lai to lasītu terminālī, un ir vērts to pārbaudīt, kad filtrs uzvedas negaidīti.

Izlemiet pēc tā, kas ierakstam jāpierāda

Izlemiet, cik daudz izslēgt, jautājot, kas ierakstam jāpierāda. Ja jums jāredz lietotņu trafiks uz to pašu resursdatoru, izslēdziet tikai SSH portu un pieņemiet citu sesiju troksni. Ja resursdators jautājumam nav svarīgs, tā pilnīga izslēgšana ir vienkāršāka, un tā noņem veselu pašģenerētu pakešu klasi. Pierakstiet izvēli blakus ieraksta failam, jo filtrs ir pieņēmums par pierādījumiem.

Saskarnes izvēle nosaka, ko vispār varat redzēt. Tunelī redzat iekšējo trafiku; fiziskajā saskarnē redzat šifrēto pārraidi. Ja pārvaldības paketes jūsu izvēlētajā punktā jau trūkst, nekāda izslēgšana nelabos uz nepareizo slāni vērstu ierakstu.