रिमोट कॅप्चरमधून SSH प्रवाह वगळावा का?

त्याच कनेक्शनवरून आउटपुट पाहत असताना दूरच्या मशीनवर कॅप्चर करणे हे स्व-संदर्भीय मोजमाप आहे, आणि ते तुम्ही मोजत असलेल्या गोष्टी विकृत करते. तुम्ही छापता तो प्रत्येक पॅकेट कॅप्चर होत असलेल्या सत्रातून परत येतो. तो प्रवाह वगळणे सहसा योग्य असते, पण वगळण्याचा आकार हा खरा निर्णय आहे. खूप अरुंद आणि कॅप्चर स्वतःच ओसंडून वाहते; खूप रुंद आणि पुरावे नाहीसे होतात.

कॅप्चर स्वतःच का रेकॉर्ड करते

कॅप्चर स्वतःच्या आउटपुटचा परतीचा मार्ग पाहते. तुमच्या टर्मिनलवर छापली जाणारी प्रत्येक ओळ व्यवस्थापन कनेक्शनवर एक किंवा अधिक पॅकेट होते, जी फिल्टर नंतर जुळवतो आणि पुन्हा छापतो. परिणाम म्हणजे बफर किंवा लिंक शरण जाईपर्यंत वाढणारा लूप.

म्हणूनच फाइलमध्ये लिहिलेले कॅप्चर चांगले दिसते आणि तेच कॅप्चर थेट स्ट्रीम केल्यावर निरुपयोगी होते. रहदारी नवी नाही; ती तुम्ही तयार केली आहे. दहा सेकंदांचे कॅप्चर लूप सुरू झाल्यावर लिंक वाहून नेऊ शकेल त्यापेक्षा जास्त आउटपुट देऊ शकते.

वगळणी एकाच गटात तयार करा

तुमच्या स्थानिक टर्मिनलमधील पत्त्यापासून नाही, तर दूरचा होस्ट तुमचे सत्र कसे पाहतो यापासून सुरुवात करा. जंप होस्ट किंवा NAT उपकरण समोरच्या बाजूचे असे काही करू शकते जे तुम्ही कधीही टाइप केले नाही, म्हणून पत्ता दूरच्या बाजूच्या स्वतःच्या दृष्टिकोनातून वाचा. नंतर होस्ट आणि पोर्ट एकत्र गटबद्ध करा, जेणेकरून नकार जोडीवर लागू होईल.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

संपूर्ण अभिव्यक्ती अवतरण चिन्हांत ठेवल्याने शेल कंसांना वाक्यरचना म्हणून वाचत नाही. निकालावर विश्वास ठेवण्यापूर्वी फिल्टर पुन्हा छापा.

बरोबर दिसणारा आणि सर्व काही ठेवणारा फिल्टर

चुकीचा फिल्टर तो आहे जो नैसर्गिकपणे वाचला जातो: स्रोत समोरची बाजू नाही, किंवा गंतव्य समोरची बाजू नाही. तुमच्या वर्कस्टेशनवरून आलेल्या पॅकेटसाठी पहिली चाचणी खरी आहे; उत्तरासाठी दुसरी. त्यांना or ने जोडल्यास दोन्ही दिशा राहतात, जे नेमके तुम्हाला टाकायचे होते तेच आहे.

pcap फिल्टर तर्क and आणि or ला समान प्राधान्य देतो आणि डावीकडून उजवीकडे मूल्यांकन करतो, म्हणून ते मिसळताना कंस ऐच्छिक नाहीत. दोन नकार एकत्र करण्याऐवजी एक गटबद्ध अभिव्यक्तीचा नकार करा. तो एकच बदल कार्यरत फिल्टरला तुमच्या स्वतःच्या टाइपिंगने भरलेल्या कॅप्चरपासून वेगळा करतो. pcap फिल्टर संदर्भ टर्मिनलमध्ये वाचण्याइतका छोटा आहे आणि फिल्टर अनपेक्षितपणे वागल्यास पाहण्यासारखा आहे.

कॅप्चरने काय सिद्ध केले पाहिजे यावरून ठरवा

कॅप्चरने काय सिद्ध केले पाहिजे असे विचारून किती वगळायचे ते ठरवा. त्याच होस्टवरची अनुप्रयोग रहदारी पाहायची असल्यास फक्त SSH पोर्ट वगळा आणि इतर सत्रांचा गोंगाट स्वीकारा. प्रश्नाशी होस्टचा संबंध नसल्यास तो पूर्णपणे वगळणे सोपे आहे आणि स्वतः निर्माण झालेल्या पॅकेटचा एक संपूर्ण वर्ग काढून टाकते. निवड कॅप्चर फाइलजवळ लिहा, कारण फिल्टर पुराव्यांबद्दलचे गृहीतक आहे.

इंटरफेसची निवडच तुम्ही काय पाहू शकता हे ठरवते. टनलवर तुम्ही आंतरिक रहदारी पाहता; भौतिक इंटरफेसवर एन्क्रिप्टेड ट्रान्सपोर्ट पाहता. तुम्ही निवडलेल्या ठिकाणी व्यवस्थापन पॅकेट आधीच नसल्यास, चुकीच्या स्तरावर लक्ष्य ठेवलेले कॅप्चर कोणत्याही वगळणीने सुधारणार नाही.