Ali naj iz zajema na daljavo izključite tok SSH?

Zajemanje na oddaljenem računalniku, medtem ko spremljate izhod skozi isto povezavo, je samoreferenčna meritev in izkrivlja to, kar merite. Vsak paket, ki ga natisnete, potuje nazaj skozi sejo, ki se zajema. Izključitev tega toka je običajno pravilna, vendar je velikost izključitve resnična odločitev. Preozka in zajem preplavi samega sebe; preširoka in dokazi izginejo.

Zakaj zajem zabeleži samega sebe

Zajem vidi povratno pot lastnega izhoda. Vsaka vrstica, natisnjena v vašem terminalu, postane en ali več paketov na upravljalni povezavi, ki jih filter nato ujame in znova natisne. Rezultat je zanka, ki raste, dokler se medpomnilnik ali povezava ne predata.

Zato je zajem, zapisan v datoteko, videti v redu, isti zajem v živo pretakan pa postane neuporaben. Promet ni nov; ustvarili ste ga vi. Desetsekundni zajem lahko proizvede več izhoda, kot ga povezava zmore prenesti, ko se zanka začne.

Zgradite izključitev kot eno skupino

Začnite s tem, kako oddaljeni gostitelj vidi vašo sejo, ne z naslovom v vašem lokalnem terminalu. Preskočni gostitelj ali naprava NAT lahko nasprotno stran naredita nekaj, česar niste nikoli vtipkali, zato preberite naslov z vidika same oddaljene strani. Nato združite gostitelja in vrata skupaj, da se negacija nanaša na par.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Navedba celotnega izraza v narekovajih prepreči lupini, da bi oklepaje brala kot sintakso. Znova natisnite filter, preden zaupate rezultatu.

Filter, ki je videti pravilen in obdrži vse

Napačen filter je tisti, ki se bere naravno: vir ni nasprotna stran ali cilj ni nasprotna stran. Za paket z vaše delovne postaje prvi preizkus velja; za odgovor drugi. Njuna povezava z or obdrži obe smeri, kar je točno tisto, kar ste hoteli zavreči.

Logika filtra pcap daje and in or enako prednost in vrednoti od leve proti desni, zato oklepaji niso neobvezni, ko jih mešate. Zanikajte en združen izraz, namesto da bi kombinirali dve negaciji. Ta ena sprememba loči delujoč filter od zajema, polnega vašega lastnega tipkanja. referenca filtra pcap je dovolj kratka za branje v terminalu in vredna preverjanja, kadar se filter obnaša nepričakovano.

Odločite se glede na to, kaj mora zajem dokazati

Odločite se, koliko izključiti, tako da vprašate, kaj mora zajem dokazati. Če morate videti promet aplikacij do istega gostitelja, izključite samo vrata SSH in sprejmite šum drugih sej. Če je gostitelj za vprašanje nepomemben, je popolna izključitev preprostejša in odstrani cel razred samodejno ustvarjenih paketov. Zapišite izbiro poleg datoteke zajema, ker je filter predpostavka o dokazih.

Izbira vmesnika odloča, kaj sploh lahko vidite. V tunelu vidite notranji promet; na fizičnem vmesniku vidite šifrirani prenos. Če upravljalnih paketov na izbrani točki že ni, nobena izključitev ne bo popravila zajema, usmerjenega na napačno plast.