Дали треба да го исклучите SSH текот од далечинско снимање?

Снимањето на далечинска машина додека го гледате излезот преку истата врска е самореферентно мерење и го искривува она што го мерите. Секој пакет што ќе го испечатите се враќа низ сесијата што се снима. Исклучувањето на тој тек обично е исправно, но големината на исклучувањето е вистинска одлука. Премногу тесно и снимањето се поплавува само; премногу широко и доказите исчезнуваат.

Зошто снимањето се снима себеси

Снимањето го гледа повратниот пат на сопствениот излез. Секој ред испечатен во вашиот терминал станува еден или повеќе пакети на управувачката врска, кои филтерот потоа ги совпаѓа и повторно ги печати. Резултатот е јамка што расте додека баферот или линијата не попуштат.

Затоа снимање запишано во датотека изгледа добро, а истото снимање пренесувано во живо станува неупотребливо. Сообраќајот не е нов; вие го создадовте. Снимање од десет секунди може да произведе повеќе излез отколку што линијата може да пренесе штом започне јамката.

Изградете го исклучувањето како една група

Започнете од тоа како далечинскиот домаќин ја гледа вашата сесија, а не од адресата во вашиот локален терминал. Скокачки домаќин или NAT уред можат да ја направат спротивната страна нешто што никогаш не сте го внеле, затоа прочитајте ја адресата од сопствениот поглед на далечинската страна. Потоа групирајте ги домаќинот и портата заедно, за да се примени негацијата на парот.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Ставањето на целиот израз во наводници спречува школката да ги чита заградите како синтакса. Испечатете го филтерот повторно пред да му верувате на резултатот.

Филтерот што изгледа исправно и го задржува сето

Погрешниот филтер е оној што се чита природно: изворот не е спротивната страна или одредиштето не е спротивната страна. За пакет од вашата работна станица првиот тест е вистинит; за одговорот вториот. Нивното поврзување со or ги задржува двата правци, што е точно она што сакавте да го отфрлите.

Логиката на pcap филтерот им дава на and и or еднаков приоритет и оценува од лево кон десно, затоа заградите не се опционални кога ги мешате. Негирајте еден групиран израз наместо да комбинирате две негации. Таа единствена промена го одделува филтерот што работи од снимање полно со вашето сопствено пишување. референца за pcap филтер е доволно кратка за читање во терминалот и вреди да се провери кога филтерот се однесува неочекувано.

Одлучете според тоа што снимањето треба да го докаже

Одлучете колку да исклучите прашувајќи што треба да докаже снимањето. Ако треба да го гледате сообраќајот на апликациите кон истиот домаќин, исклучете само SSH портата и прифатете го шумот од другите сесии. Ако домаќинот е неважен за прашањето, целосното исклучување е поедноставно и отстранува цела класа само-генерирани пакети. Запишете го изборот до датотеката за снимање, бидејќи филтерот е претпоставка за доказите.

Изборот на интерфејс одлучува што воопшто можете да видите. Во тунелот го гледате внатрешниот сообраќај; на физичкиот интерфејс го гледате шифрираниот пренос. Ако управувачките пакети веќе недостасуваат во точката што ја избравте, никакво исклучување нема да поправи снимање насочено кон погрешен слој.