के रिमोट क्याप्चरबाट SSH प्रवाह बाहिर राख्नुपर्छ?

उही जडानबाट आउटपुट हेर्दै टाढाको मेसिनमा क्याप्चर गर्नु स्व-सन्दर्भीय मापन हो, र यसले तपाईंले मापन गरिरहेको कुरालाई विकृत गर्छ। तपाईंले प्रिन्ट गर्ने हरेक प्याकेट क्याप्चर भइरहेको सत्रबाट फर्किन्छ। त्यो प्रवाह बाहिर राख्नु सामान्यतया ठीक हुन्छ, तर बहिष्कारको आकार वास्तविक निर्णय हो। धेरै साँघुरो भयो भने क्याप्चर आफैंमा डुब्छ; धेरै फराकिलो भयो भने प्रमाण हराउँछ।

क्याप्चरले किन आफैंलाई रेकर्ड गर्छ

क्याप्चरले आफ्नै आउटपुटको फिर्ती मार्ग देख्छ। तपाईंको टर्मिनलमा प्रिन्ट हुने हरेक लाइन व्यवस्थापन जडानमा एक वा धेरै प्याकेट बन्छ, जसलाई फिल्टरले त्यसपछि मिलाएर फेरि प्रिन्ट गर्छ। नतिजा बफर वा लिंक हार नमानेसम्म बढ्ने लूप हो।

यसैले फाइलमा लेखिएको क्याप्चर राम्रो देखिन्छ र त्यही क्याप्चर प्रत्यक्ष स्ट्रिम गर्दा प्रयोग गर्न नसकिने हुन्छ। ट्राफिक नयाँ होइन; यो तपाईंले बनाउनुभयो। दस सेकेन्डको क्याप्चरले लूप सुरु भएपछि लिंकले बोक्न सक्नेभन्दा बढी आउटपुट दिन सक्छ।

बहिष्कारलाई एउटै समूहका रूपमा बनाउनुहोस्

स्थानीय टर्मिनलको ठेगानाबाट होइन, रिमोट होस्टले तपाईंको सत्र कसरी देख्छ त्यसबाट सुरु गर्नुहोस्। जम्प होस्ट वा NAT यन्त्रले विपक्षीलाई तपाईंले कहिल्यै नटाइप गरेको कुरा बनाउन सक्छ, त्यसैले ठेगाना टाढाको पक्षको आफ्नै दृष्टिकोणबाट पढ्नुहोस्। त्यसपछि होस्ट र पोर्टलाई सँगै समूहबद्ध गर्नुहोस् ताकि निषेध जोडीमा लागू होस्।

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

पूरै अभिव्यक्ति उद्धरणमा राख्दा शेलले कोष्ठकलाई वाक्यरचना रूपमा पढ्दैन। नतिजामा भरोसा गर्नुअघि फिल्टर फेरि प्रिन्ट गर्नुहोस्।

सही देखिने र सबै कुरा राख्ने फिल्टर

गलत फिल्टर त्यो हो जो स्वाभाविक रूपमा पढिन्छ: स्रोत विपक्षी होइन, वा गन्तव्य विपक्षी होइन। तपाईंको वर्कस्टेशनबाट आएको प्याकेटका लागि पहिलो परीक्षण सत्य हो; जवाफका लागि दोस्रो। तिनीहरूलाई or ले जोड्दा दुवै दिशा रहन्छन्, जुन ठ्याक्कै तपाईंले फाल्न खोजेको कुरा हो।

pcap फिल्टर तर्कले and र or लाई समान प्राथमिकता दिन्छ र बायाँबाट दायाँ मूल्यांकन गर्छ, त्यसैले तिनीहरूलाई मिसाउँदा कोष्ठक वैकल्पिक होइनन्। दुई निषेध जोड्नुको सट्टा एउटा समूहबद्ध अभिव्यक्तिको निषेध गर्नुहोस्। त्यो एउटै परिवर्तनले काम गर्ने फिल्टरलाई तपाईंको आफ्नै टाइपिङले भरिएको क्याप्चरबाट छुट्याउँछ। pcap फिल्टर सन्दर्भ टर्मिनलमा पढ्न पर्याप्त छोटो छ र फिल्टरले अप्रत्याशित व्यवहार गर्दा हेर्न लायक छ।

क्याप्चरले के प्रमाणित गर्नुपर्छ त्यसबाट निर्णय गर्नुहोस्

क्याप्चरले के प्रमाणित गर्नुपर्छ भनेर सोधेर कति बाहिर राख्ने निर्णय गर्नुहोस्। उही होस्टमा अनुप्रयोग ट्राफिक हेर्नुपर्ने भए SSH पोर्ट मात्र बाहिर राख्नुहोस् र अरू सत्रको हल्ला स्वीकार गर्नुहोस्। प्रश्नसँग होस्टको सम्बन्ध छैन भने यसलाई पूरै बाहिर राख्नु सरल हुन्छ र स्व-उत्पन्न प्याकेटको सम्पूर्ण वर्ग हट्छ। छनोट क्याप्चर फाइलको छेउमा लेख्नुहोस्, किनकि फिल्टर प्रमाणको बारेमा एउटा अनुमान हो।

इन्टरफेसको छनोटले नै तपाईं के देख्न सक्नुहुन्छ भन्ने निर्धारण गर्छ. टनेलमा तपाईं भित्री ट्राफिक देख्नुहुन्छ; भौतिक इन्टरफेसमा इन्क्रिप्टेड ट्रान्सपोर्ट देख्नुहुन्छ। तपाईंले छानेको बिन्दुमा व्यवस्थापन प्याकेट पहिले नै छैनन् भने, गलत तहमा लक्षित क्याप्चरलाई कुनै बहिष्कारले सुधार्दैन।