Você deve excluir o fluxo SSH de uma captura remota?

Capturar em uma máquina remota enquanto observa a saída pela mesma conexão é uma medição autorreferencial, e ela distorce o que você está medindo. Cada pacote que você imprime volta pela sessão que está sendo capturada. Excluir esse fluxo costuma ser correto, mas o tamanho da exclusão é uma decisão real. Estreita demais e a captura inunda a si mesma; larga demais e a evidência desaparece.

Por que a captura registra a si mesma

A captura vê o caminho de volta da própria saída. Cada linha impressa no seu terminal se torna um ou mais pacotes na conexão de gerenciamento, que o filtro então casa e imprime novamente. O resultado é um laço que cresce até o buffer ou o link desistirem.

É por isso que uma captura gravada em arquivo parece boa e a mesma captura transmitida ao vivo se torna inutilizável. O tráfego não é novo; você o criou. Uma captura de dez segundos pode produzir mais saída do que o link consegue carregar assim que o laço começa.

Construa a exclusão como um único grupo

Comece por como o host remoto vê a sua sessão, não pelo endereço no seu terminal local. Um host de salto ou um dispositivo NAT podem tornar o par algo que você nunca digitou, então leia o endereço a partir da visão do próprio lado remoto. Depois agrupe o host e a porta juntos, para que a negação se aplique ao par.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Colocar a expressão inteira entre aspas impede que o shell leia os parênteses como sintaxe. Imprima o filtro de novo antes de confiar no resultado.

O filtro que parece certo e mantém tudo

O filtro errado é o que se lê naturalmente: a origem não é o par, ou o destino não é o par. Para um pacote da sua estação de trabalho o primeiro teste é verdadeiro; para a resposta, o segundo. Uni-los com or mantém as duas direções, que é exatamente o que você queria descartar.

A lógica de filtro pcap dá a and e or a mesma precedência e avalia da esquerda para a direita, então os parênteses não são opcionais quando você os mistura. Negue uma expressão agrupada em vez de combinar duas negações. Essa única mudança separa um filtro que funciona de uma captura cheia da sua própria digitação. referência do filtro pcap é curta o bastante para ler no terminal e vale a consulta sempre que um filtro se comporta de forma inesperada.

Decida pelo que a captura precisa provar

Decida quanto excluir perguntando o que a captura precisa provar. Se você precisa ver tráfego de aplicações para o mesmo host, exclua apenas a porta SSH e aceite o ruído de outras sessões. Se o host é irrelevante para a pergunta, excluí-lo por completo é mais simples e remove uma classe inteira de pacotes autogerados. Escreva a escolha ao lado do arquivo de captura, porque um filtro é uma suposição sobre a evidência.

A escolha da interface decide o que você pode ver. No túnel você vê o tráfego interno; na interface física você vê o transporte cifrado. Se os pacotes de gerenciamento já estão ausentes no ponto que você escolheu, nenhuma exclusão corrigirá uma captura apontada para a camada errada.