Ar trebui să excluzi fluxul SSH dintr-o captură la distanță?

A captura pe o mașină aflată la distanță în timp ce urmărești ieșirea prin aceeași conexiune este o măsurătoare autoreferențială și distorsionează ceea ce măsori. Fiecare pachet pe care îl afișezi se întoarce prin sesiunea care este capturată. Excluderea acelui flux este de obicei corectă, dar dimensiunea excluderii este o decizie reală. Prea îngustă și captura se inundă pe sine; prea largă și dovezile dispar.

De ce captura se înregistrează pe sine

Captura vede calea de întoarcere a propriei ieșiri. Fiecare linie afișată în terminalul tău devine unul sau mai multe pachete pe conexiunea de administrare, pe care filtrul le potrivește apoi și le afișează din nou. Rezultatul este o buclă care crește până când tamponul sau legătura cedează.

De aceea o captură scrisă într-un fișier arată bine, iar aceeași captură transmisă în direct devine inutilizabilă. Traficul nu este nou; tu l-ai creat. O captură de zece secunde poate produce mai multă ieșire decât poate duce legătura odată ce începe bucla.

Construiește excluderea ca un singur grup

Începe de la modul în care gazda aflată la distanță îți vede sesiunea, nu de la adresa din terminalul tău local. O gazdă de salt sau un dispozitiv NAT pot face partea cealaltă ceva ce nu ai tastat niciodată, așa că citește adresa din perspectiva părții îndepărtate. Apoi grupează gazda și portul împreună, astfel încât negația să se aplice perechii.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Punerea întregii expresii între ghilimele împiedică shell-ul să citească parantezele ca sintaxă. Afișează din nou filtrul înainte de a avea încredere în rezultat.

Filtrul care pare corect și păstrează totul

Filtrul greșit este cel care se citește natural: sursa nu este partea cealaltă sau destinația nu este partea cealaltă. Pentru un pachet de pe stația ta de lucru primul test este adevărat; pentru răspuns, al doilea. Unirea lor cu or păstrează ambele direcții, exact ceea ce voiai să arunci.

Logica filtrului pcap dă lui and și or aceeași prioritate și evaluează de la stânga la dreapta, așa că parantezele nu sunt opționale când le amesteci. Nega o singură expresie grupată în loc să combini două negații. Acea singură schimbare separă un filtru funcțional de o captură plină de propria ta tastare. referința filtrului pcap este suficient de scurtă pentru a fi citită în terminal și merită verificată ori de câte ori un filtru se comportă neașteptat.

Decide după ce trebuie să demonstreze captura

Decide cât să excluzi întrebând ce trebuie să demonstreze captura. Dacă trebuie să vezi traficul aplicațiilor către aceeași gazdă, exclude doar portul SSH și acceptă zgomotul din alte sesiuni. Dacă gazda este irelevantă pentru întrebare, excluderea ei completă este mai simplă și elimină o întreagă clasă de pachete autogenerate. Scrie alegerea lângă fișierul de captură, pentru că un filtru este o presupunere despre dovezi.

Alegerea interfeței decide ce poți vedea. În tunel vezi traficul intern; pe interfața fizică vezi transportul criptat. Dacă pachetele de administrare lipsesc deja în punctul pe care l-ai ales, nicio excludere nu va repara o captură îndreptată spre stratul greșit.