Patutkah anda mengecualikan aliran SSH daripada tangkapan jauh?

Menangkap paket pada mesin jauh sambil memerhati output melalui sambungan yang sama ialah pengukuran yang merujuk dirinya sendiri, dan ia memesongkan apa yang anda ukur. Setiap paket yang anda cetak kembali melalui sesi yang sedang ditangkap. Mengecualikan aliran itu biasanya betul, tetapi saiz pengecualian itu ialah keputusan sebenar. Terlalu sempit dan tangkapan membanjiri dirinya sendiri; terlalu lebar dan bukti hilang.

Mengapa tangkapan merekodkan dirinya sendiri

Tangkapan melihat laluan balik outputnya sendiri. Setiap baris yang dicetak ke terminal anda menjadi satu atau lebih paket pada sambungan pengurusan, yang kemudian dipadankan oleh penapis dan dicetak semula. Hasilnya ialah gelung yang membesar sehingga penimbal atau pautan mengalah.

Itulah sebabnya tangkapan yang ditulis ke fail kelihatan baik dan tangkapan yang sama yang distrim secara langsung menjadi tidak boleh digunakan. Trafik itu bukan baharu; anda yang menciptanya. Tangkapan sepuluh saat boleh menghasilkan output lebih banyak daripada yang mampu dibawa oleh pautan setelah gelung bermula.

Bina pengecualian sebagai satu kumpulan

Mulakan dengan cara hos jauh melihat sesi anda, bukan dengan alamat dalam terminal setempat anda. Hos lompat atau peranti NAT boleh menjadikan pihak lawan sesuatu yang tidak pernah anda taip, jadi baca alamat itu daripada pandangan sisi jauh itu sendiri. Kemudian kumpulkan hos dan port bersama-sama supaya penafian terpakai pada pasangan itu.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Memetik seluruh ungkapan menghalang shell daripada membaca kurungan sebagai sintaks. Cetak semula penapis sebelum anda mempercayai hasilnya.

Penapis yang kelihatan betul dan menyimpan segala-galanya

Penapis yang salah ialah yang dibaca secara semula jadi: sumber bukan pihak lawan, atau destinasi bukan pihak lawan. Bagi paket daripada stesen kerja anda ujian pertama benar; bagi balasan ujian kedua. Menggabungkannya dengan or mengekalkan kedua-dua arah, iaitu tepat apa yang anda mahu buang.

Logik penapis pcap memberikan and dan or keutamaan yang sama dan menilai dari kiri ke kanan, jadi kurungan bukan pilihan apabila anda mencampurkannya. Nafi satu ungkapan berkumpulan dan bukan menggabungkan dua penafian. Perubahan tunggal itu memisahkan penapis yang berfungsi daripada tangkapan yang penuh dengan taipan anda sendiri. rujukan penapis pcap cukup pendek untuk dibaca di terminal dan wajar disemak setiap kali penapis berkelakuan tidak dijangka.

Tentukan berdasarkan apa yang tangkapan mesti buktikan

Tentukan berapa banyak untuk dikecualikan dengan bertanya apa yang tangkapan mesti buktikan. Jika anda perlu melihat trafik aplikasi ke hos yang sama, kecualikan hanya port SSH dan terima bunyi bising daripada sesi lain. Jika hos itu tidak berkaitan dengan soalan, mengecualikannya sepenuhnya lebih mudah dan menghapuskan seluruh kelas paket yang dijana sendiri. Tulis pilihan itu di sebelah fail tangkapan, kerana penapis ialah andaian tentang bukti.

Pilihan antara muka menentukan apa yang boleh anda lihat sama sekali. Di terowong anda melihat trafik dalaman; pada antara muka fizikal anda melihat pengangkutan yang disulitkan. Jika paket pengurusan sudah tiada pada titik yang anda pilih, tiada pengecualian akan membaiki tangkapan yang menyasarkan lapisan yang salah.