ਦੂਰੋਂ ਪੈਕੇਟ ਕੈਪਚਰ: ਸੈਂਸਰ ਸਥਾਨਕ ਰੱਖੋ, ਵਿਸ਼ਲੇਸ਼ਕ ਦੂਰ

ਪੈਕੇਟ ਕੈਪਚਰ ਉੱਥੇ ਹੀ ਹੁੰਦਾ ਹੈ ਜਿੱਥੇ ਪੈਕੇਟ ਪਹਿਲਾਂ ਹੀ ਵਹਿ ਰਹੇ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਦੂਰ ਦਾ ਵਿਸ਼ਲੇਸ਼ਕ ਉੱਥੇ ਘੱਟ ਹੀ ਬੈਠਦਾ ਹੈ। ਕੰਮ ਕਰਨ ਯੋਗ ਪ੍ਰਬੰਧ ਨਿਗਰਾਨੀ ਕੀਤੇ ਸੈਗਮੈਂਟ ਉੱਤੇ ਸੈਂਸਰ ਅਤੇ ਪੂਰੀ ਮਿਰਰ ਕੀਤੀ ਲਿੰਕ ਨਹੀਂ, ਸਗੋਂ ਪ੍ਰਸ਼ਾਸਨ ਅਤੇ ਵਾਪਸੀ ਢੋਣ ਵਾਲਾ VPN ਹੈ। ਇਹ ਵੰਡ ਵਿਸ਼ਲੇਸ਼ਕ ਦੇ ਲੈਪਟਾਪ ਨੂੰ ਕੈਪਚਰ ਮਾਰਗ ਤੋਂ ਬਾਹਰ ਰੱਖਦੀ ਹੈ ਅਤੇ ਸੰਵੇਦਨਸ਼ੀਲ ਪੇਲੋਡ ਸਾਈਟ ਉੱਤੇ ਰੱਖਦੀ ਹੈ। ਹੇਠਾਂ ਦਿੱਤੇ ਕਦਮ ਇੰਟਰਫੇਸ ਚੁਣਦੇ ਹਨ, ਫਾਈਲ ਸੀਮਿਤ ਕਰਦੇ ਹਨ ਅਤੇ ਸਵਾਲ ਨੂੰ ਜੋ ਚਾਹੀਦਾ ਹੈ ਉਹੀ ਭੇਜਦੇ ਹਨ।

ਦੂਰ ਦਾ ਲੈਪਟਾਪ ਟੈਪ ਨਹੀਂ ਹੈ

VPN ਰਾਹੀਂ ਨੈੱਟਵਰਕ ਵਿੱਚ ਸ਼ਾਮਲ ਹੋਣਾ ਤੁਹਾਡੀ ਮਸ਼ੀਨ ਨੂੰ ਸੈਂਸਰ ਤੱਕ ਮਾਰਗ ਦਿੰਦਾ ਹੈ, ਹੋਰ ਹੋਸਟਾਂ ਵਿਚਕਾਰ ਟ੍ਰੈਫਿਕ ਦੇਖਣ ਦੀ ਸਮਰੱਥਾ ਨਹੀਂ। ਤੁਹਾਡੇ ਲੈਪਟਾਪ ਉੱਤੇ ਲਿਆ ਕੈਪਚਰ ਸਿਰਫ਼ ਤੁਹਾਡੇ ਲੈਪਟਾਪ ਦੇ ਇੰਟਰਫੇਸ ਤੱਕ ਪਹੁੰਚਾਏ ਪੈਕੇਟ ਦੇਖਦਾ ਹੈ। ਸਵਿੱਚ ਕੀਤੀ ਲਿੰਕ ਦੇਖਣ ਲਈ ਨੈੱਟਵਰਕ ਮਾਲਕ ਨੂੰ ਮਿਰਰ ਜਾਂ ਟੈਪ ਦੇਣਾ ਪੈਂਦਾ ਹੈ ਜੋ ਸਾਈਟ ਦੇ ਸੈਂਸਰ ਨੂੰ ਭੋਜਨ ਦਿੰਦਾ ਹੈ। ਤਦ ਵੀ ਮਿਰਰ ਦੀਆਂ ਸੀਮਾਵਾਂ ਹੁੰਦੀਆਂ ਹਨ, ਕਿਉਂਕਿ ਵੱਧ ਭਾਰ ਵਾਲੇ ਟਿਕਾਣੇ ਫਰੇਮ ਸੁੱਟ ਦਿੰਦੇ ਹਨ ਅਤੇ ਗੇਟਵੇ ਉਹੀ VLAN ਅੰਦਰ ਰਹਿਣ ਵਾਲਾ ਟ੍ਰੈਫਿਕ ਕਦੇ ਨਹੀਂ ਦੇਖਦਾ।

ਐਨਕ੍ਰਿਪਟਡ ਪ੍ਰਵਾਹ ਸੈਂਸਰ ਉੱਤੇ ਵੀ ਐਨਕ੍ਰਿਪਟਡ ਰਹਿੰਦਾ ਹੈ, ਕਿਉਂਕਿ TLS ਪੇਲੋਡ ਸਿਰਿਆਂ ਦਾ ਹੈ। ਕੈਪਚਰ ਹੈਡਰ, ਸਮਾਂ ਅਤੇ ਮਾਤਰਾ ਦਿੰਦਾ ਹੈ, ਸਾਦਾ ਪਾਠ ਨਹੀਂ।

ਉਹ ਇੰਟਰਫੇਸ ਚੁਣੋ ਜੋ ਪ੍ਰਵਾਹ ਦੇਖ ਸਕਦਾ ਹੈ

ਕੁਝ ਵੀ ਫਿਲਟਰ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇੰਟਰਫੇਸ ਦੀ ਸੂਚੀ ਬਣਾਓ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਕਿਹੜਾ ਤੁਹਾਡੇ ਪੁੱਛੇ ਮਾਰਗ ਨੂੰ ਢੋਂਦਾ ਹੈ। ਭੌਤਿਕ ਪੋਰਟ, ਬਾਂਡ ਅਤੇ ਪੁਲ ਵਿਚਕਾਰ ਅੰਦਾਜ਼ਾ ਲਗਾਉਣਾ ਖਾਲੀ ਫਾਈਲ ਇਕੱਠੀ ਕਰਨ ਦਾ ਆਮ ਤਰੀਕਾ ਹੈ।

ip -br link
dumpcap -D

ਇੰਟਰਫੇਸ ਦਾ ਨਾਮ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਨਿਗਰਾਨੀ ਬਿੰਦੂ ਨਾਲ ਮਿਲਾਓ, ਕਿਸੇ ਹੋਰ ਹੋਸਟ ਤੋਂ ਯਾਦ ਨਾਮ ਨਾਲ ਨਹੀਂ। ਜੇ ਸੇਵਾ ਸਪਸ਼ਟ ਤੌਰ ਉੱਤੇ ਰੁੱਝੀ ਹੋਈ ਹੈ ਪਰ ਪੈਕੇਟ ਗਿਣਤੀ ਸਿਫ਼ਰ ਰਹਿੰਦੀ ਹੈ, ਤਾਂ ਸੈਂਸਰ ਗਲਤ ਸੈਗਮੈਂਟ ਉੱਤੇ ਹੈ ਜਾਂ ਮਿਰਰ ਦੂਜੀ ਦਿਸ਼ਾ ਲਈ ਸੈੱਟ ਹੈ। ਪਹਿਲਾਂ ਕਿਸੇ ਜਾਣੀ-ਪਛਾਣੀ ਅਦਲਾ-ਬਦਲੀ ਨਾਲ ਮਾਰਗ ਸਾਬਤ ਕਰੋ, ਤਾਂ ਜੋ ਟੁੱਟੇ ਮਿਰਰ ਨੂੰ ਸ਼ਾਂਤ ਐਪਲੀਕੇਸ਼ਨ ਨਾ ਸਮਝਿਆ ਜਾਵੇ। ਇੰਟਰਫੇਸ ਅਤੇ ਮਿਰਰ ਦੇ ਵੇਰਵੇ ਕੈਪਚਰ ਨੋਟਾਂ ਵਿੱਚ ਲਿਖੋ ਜਦੋਂ ਉਹ ਅਜੇ ਤਾਜ਼ਾ ਹਨ।

ਫਿਲਟਰ ਅਤੇ ਰਿੰਗ ਨਾਲ ਕੈਪਚਰ ਸੀਮਿਤ ਕਰੋ

ਬਿਨਾਂ ਸੀਮਾ ਦਾ ਕੈਪਚਰ ਡਿਸਕ ਭਰ ਦਿੰਦਾ ਹੈ ਅਤੇ ਸਵਾਲ ਦੀ ਲੋੜ ਤੋਂ ਵੱਧ ਇਕੱਠਾ ਕਰਦਾ ਹੈ। ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਸਰੋਤ, ਟਿਕਾਣਾ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਫਿਲਟਰ ਵਿੱਚ ਪਾਓ, ਫਿਰ ਫਾਈਲ ਦਾ ਆਕਾਰ ਅਤੇ ਫਾਈਲਾਂ ਦੀ ਗਿਣਤੀ ਸੀਮਿਤ ਕਰੋ।

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

ਉੱਪਰ ਦਿੱਤਾ ਪਤਾ ਅਤੇ ਪੋਰਟ ਦਸਤਾਵੇਜ਼ ਸ਼੍ਰੇਣੀ ਦੇ ਉਦਾਹਰਨ ਹਨ, ਇਸ ਲਈ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਮੁੱਲ ਪਾਓ ਅਤੇ ਵਿੰਡੋ ਨੂੰ ਇੰਨੀ ਛੋਟੀ ਰੱਖੋ ਕਿ ਸਬੂਤ ਰਿੰਗ ਵਿੱਚੋਂ ਬਚ ਜਾਣ। ਸਨੈਪਸ਼ਾਟ ਲੰਬਾਈ ਹੈਡਰ ਰੱਖਦਿਆਂ ਪੇਲੋਡ ਕੱਟਦੀ ਹੈ, ਜੋ ਆਮ ਤੌਰ ਉੱਤੇ ਕਨੈਕਟੀਵਿਟੀ ਸਵਾਲ ਲਈ ਕਾਫ਼ੀ ਹੁੰਦੀ ਹੈ ਅਤੇ ਸੰਭਾਲਣਾ ਬਹੁਤ ਸੌਖਾ ਹੈ। tcpdump ਬਾਹਰ ਨਿਕਲਦਿਆਂ ਛਾਪੀ ਕਰਨਲ ਡ੍ਰੌਪ ਲਾਈਨ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਵੱਧ ਡ੍ਰੌਪ ਦਾ ਮਤਲਬ ਹੈ ਕੈਪਚਰ ਅਧੂਰਾ ਹੈ, ਸ਼ਾਂਤ ਨਹੀਂ। ਰਿੰਗ ਦੇ ਉੱਤੇ ਲਿਖਣ ਤੋਂ ਪਹਿਲਾਂ ਲੋੜੀਂਦੀ ਵਿੰਡੋ ਸੰਭਾਲੋ ਅਤੇ ਫਾਈਲ ਨਾਮ ਕੋਲ ਫਿਲਟਰ ਸਟ੍ਰਿੰਗ ਦਰਜ ਕਰੋ।

ਪੂਰੀ ਲਿੰਕ ਨਹੀਂ, ਫਾਈਲ ਭੇਜੋ

WAN ਉੱਤੇ ਮਿਰਰ ਸਟ੍ਰੀਮ ਕਰਨ ਦੀ ਥਾਂ ਪ੍ਰਬੰਧਨ ਚੈਨਲ ਰਾਹੀਂ ਪੂਰਾ ਹੋਇਆ ਕੈਪਚਰ ਲਿਆਓ। ਇੱਕ ਤਬਾਦਲਾ ਲਗਾਤਾਰ ਨਿਰਯਾਤ ਨਾਲੋਂ ਅਧਿਕਾਰਤ ਕਰਨਾ, ਲੌਗ ਕਰਨਾ ਅਤੇ ਮਿਟਾਉਣਾ ਸੌਖਾ ਹੈ।

scp [email protected]:/var/tmp/cap.pcap ./

ਫਾਈਲ ਨੂੰ ਸਿਰਫ਼ ਆਪਰੇਟਰ ਖਾਤੇ ਲਈ ਪੜ੍ਹਨ ਯੋਗ ਰੱਖੋ, ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਕਾਪੀ ਪ੍ਰਮਾਣਿਤ ਹੋਣ ਤੋਂ ਬਾਅਦ ਇਸਨੂੰ ਸੈਂਸਰ ਤੋਂ ਮਿਟਾ ਦਿਓ। ਜੇ ਲਾਈਵ ਨਿਰਯਾਤ ਸੱਚਮੁੱਚ ਲੋੜ ਹੈ, ਤਾਂ ਮਿਰਰ ਐਨਕੈਪਸੂਲੇਸ਼ਨ ਅਤੇ ਢੋਆ-ਢੁਆਈ ਇਕੱਠੇ ਮਾਪੋ, ਕਿਉਂਕਿ ਵਾਧੂ ਭਾਰ ਲਿੰਕ ਬਜਟ ਤੋਂ ਵੱਧ ਸਕਦਾ ਹੈ। ਕਿਸੇ ਵੀ ਹਾਲ ਵਿੱਚ ਦਿੱਖ ਦੇ ਅੰਤਰਾਲ ਦਰਜ ਕਰੋ, ਕਿਉਂਕਿ ਕੈਪਚਰ ਜਾਣੇ ਨਿਗਰਾਨੀ ਬਿੰਦੂ ਵਾਲਾ ਸਬੂਤ ਹੈ, ਨੈੱਟਵਰਕ ਦਾ ਪੂਰਾ ਰਿਕਾਰਡ ਨਹੀਂ।