Bør du utelukke SSH-strømmen fra et fjernopptak?

Å ta opp på en ekstern maskin mens du ser utdataene gjennom den samme forbindelsen er en selv-refererende måling, og den forvrenger det du måler. Hver pakke du skriver ut, reiser tilbake gjennom økten som tas opp. Å utelukke den strømmen er vanligvis riktig, men størrelsen på utelukkelsen er en reell beslutning. For smal, og opptaket oversvømmer seg selv; for bred, og bevisene forsvinner.

Hvorfor opptaket registrerer seg selv

Opptaket ser returveien til sin egen utdata. Hver linje som skrives ut i terminalen din, blir en eller flere pakker på administrasjonsforbindelsen, som filteret deretter matcher og skriver ut igjen. Resultatet er en løkke som vokser til bufferen eller linjen gir opp.

Derfor ser et opptak som skrives til en fil, fint ut, mens det samme opptaket strømmet live blir ubrukelig. Trafikken er ikke ny; du skapte den. Et opptak på ti sekunder kan produsere mer utdata enn linjen kan bære når løkken først har startet.

Bygg utelukkelsen som én gruppe

Start med hvordan den eksterne verten ser økten din, ikke med adressen i den lokale terminalen din. En hoppvert eller en NAT-enhet kan gjøre motparten til noe du aldri skrev inn, så les adressen fra den eksterne sidens eget syn. Grupper deretter verten og porten sammen, slik at negasjonen gjelder for paret.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Å sette hele uttrykket i anførselstegn hindrer skallet i å lese parentesene som syntaks. Skriv ut filteret på nytt før du stoler på resultatet.

Filteret som ser riktig ut og beholder alt

Det gale filteret er det som leses naturlig: kilden er ikke motparten, eller målet er ikke motparten. For en pakke fra arbeidsstasjonen din er den første testen sann; for svaret er den andre sann. Å koble dem med or beholder begge retninger, som er nøyaktig det du mente å slippe.

pcap-filterlogikk gir and og or samme prioritet og evaluerer fra venstre mot høyre, så parenteser er ikke valgfrie når du blander dem. Neger én gruppert uttrykk i stedet for å kombinere to negasjoner. Den ene endringen skiller et fungerende filter fra et opptak fullt av din egen skriving. pcap-filterreferansen er kort nok til å lese i terminalen og verdt å sjekke når et filter oppfører seg uventet.

Bestem ut fra hva opptaket må bevise

Bestem hvor mye som skal utelukkes ved å spørre hva opptaket må bevise. Hvis du trenger å se applikasjonstrafikk til den samme verten, utelukker du bare SSH-porten og godtar støy fra andre økter. Hvis verten er irrelevant for spørsmålet, er det enklere å utelukke den helt, og det fjerner en hel klasse selvgenererte pakker. Skriv valget ved siden av opptaksfilen, fordi et filter er en antakelse om bevisene.

Valget av grensesnitt avgjør hva du i det hele tatt kan se. På tunnelen ser du den indre trafikken; på det fysiske grensesnittet ser du den krypterte transporten. Hvis administrasjonspakkene allerede mangler på punktet du valgte, vil ingen utelukkelse rette et opptak rettet mot feil lag.