Bør du utelukke SSH-straumen frå eit fjernopptak?

Å ta opp på ein ekstern maskin medan du ser utdataa gjennom det same sambandet er ei sjølvrefererande måling, og ho forvrenger det du måler. Kvar pakke du skriv ut, fer tilbake gjennom økta som vert teken opp. Å utelukke den straumen er vanlegvis rett, men storleiken på utelukkinga er ei reell avgjerd. For smal, og opptaket fløymer over seg sjølv; for brei, og prova forsvinn.

Kvifor opptaket registrerer seg sjølv

Opptaket ser returvegen til sine eigne utdata. Kvar linje som vert skriven ut i terminalen din, vert ein eller fleire pakkar på administrasjonssambandet, som filteret deretter matchar og skriv ut igjen. Resultatet er ei løkke som veks til bufferen eller linja gjev opp.

Difor ser eit opptak som vert skrive til ei fil, fint ut, medan det same opptaket strøyma direkte vert ubrukeleg. Trafikken er ikkje ny; du skapte han. Eit opptak på ti sekund kan produsere meir utdata enn linja kan bere når løkka fyrst har starta.

Bygg utelukkinga som éin gruppe

Start med korleis den eksterne verten ser økta di, ikkje med adressa i den lokale terminalen din. Ein hoppvert eller ein NAT-eining kan gjere motparten til noko du aldri skreiv inn, så les adressa frå den eksterne sida sitt eige syn. Grupper deretter verten og porten saman, slik at negasjonen gjeld for paret.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Å setje heile uttrykket i hermeteikn hindrar skalet i å lese parentesane som syntaks. Skriv ut filteret på nytt før du stolar på resultatet.

Filteret som ser rett ut og held på alt

Det gale filteret er det som vert lese naturleg: kjelda er ikkje motparten, eller målet er ikkje motparten. For ein pakke frå arbeidsstasjonen din er den første testen sann; for svaret er den andre sann. Å kople dei med or held på begge retningar, som er nøyaktig det du meinte å sleppe.

pcap-filterlogikk gjev and og or same prioritet og evaluerer frå venstre mot høgre, så parentesar er ikkje valfrie når du blandar dei. Neger eitt gruppert uttrykk i staden for å kombinere to negasjonar. Den eine endringa skil eit fungerande filter frå eit opptak fullt av di eiga skriving. pcap-filterreferansen er kort nok til å lese i terminalen og verdt å sjekke når eit filter oppfører seg uventa.

Avgjer ut frå kva opptaket må prove

Avgjer kor mykje som skal utelukkast ved å spørje kva opptaket må prove. Viss du treng å sjå applikasjonstrafikk til den same verten, utelukkar du berre SSH-porten og godtek støy frå andre økter. Viss verten er irrelevant for spørsmålet, er det enklare å utelukke han heilt, og det fjernar ein heil klasse sjølvgenererte pakkar. Skriv valet ved sida av opptaksfila, fordi eit filter er ei føresetnad om prova.

Valet av grensesnitt avgjer kva du i det heile kan sjå. På tunnelen ser du den indre trafikken; på det fysiske grensesnittet ser du den krypterte transporten. Viss administrasjonspakkane allereie manglar på punktet du valde, vil inga utelukking rette eit opptak retta mot feil lag.