A duhet të përjashtoni rrjedhën SSH nga një regjistrim në distancë?

Regjistrimi në një makinë në distancë ndërsa shikoni daljen përmes të njëjtës lidhje është një matje vetëreferuese dhe shtrembëron atë që po matni. Çdo paketë që printoni kthehet përmes sesionit që po regjistrohet. Përjashtimi i asaj rrjedhe zakonisht është i saktë, por madhësia e përjashtimit është një vendim i vërtetë. Shumë e ngushtë dhe regjistrimi përmbytet vetë; shumë e gjerë dhe provat zhduken.

Pse regjistrimi regjistron vetveten

Regjistrimi sheh rrugën e kthimit të daljes së vet. Çdo rresht i printuar në terminalin tuaj bëhet një ose më shumë paketa në lidhjen e menaxhimit, të cilat filtri më pas i përputh dhe i printon përsëri. Rezultati është një lak që rritet derisa buferi ose lidhja të dorëzohen.

Kjo është arsyeja pse një regjistrim i shkruar në skedar duket mirë dhe i njëjti regjistrim i transmetuar drejtpërdrejt bëhet i papërdorshëm. Trafiku nuk është i ri; ju e krijoni atë. Një regjistrim dhjetë sekondash mund të prodhojë më shumë dalje se sa lidhja mund të mbajë sapo fillon laku.

Ndërtojeni përjashtimin si një grup të vetëm

Filloni nga mënyra se si hosti në distancë e sheh sesionin tuaj, jo nga adresa në terminalin tuaj lokal. Një host kërcimi ose një pajisje NAT mund ta bëjnë palën tjetër diçka që nuk e keni shtypur kurrë, prandaj lexoni adresën nga këndvështrimi i vetë anës së largët. Pastaj gruponi hostin dhe portën bashkë, në mënyrë që mohimi të zbatohet për çiftin.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Vendosja e të gjithë shprehjes në thonjëza e pengon shell-in ta lexojë kllapat si sintaksë. Printoni përsëri filtrin përpara se t'i besoni rezultatit.

Filtri që duket i saktë dhe mban gjithçka

Filtri i gabuar është ai që lexohet natyrshëm: burimi nuk është pala tjetër, ose destinacioni nuk është pala tjetër. Për një paketë nga stacioni juaj i punës testi i parë është i vërtetë; për përgjigjen i dyti. Bashkimi i tyre me or i mban të dy drejtimet, që është pikërisht ajo që kishit ndërmend të hidhni.

Logjika e filtrit pcap i jep and dhe or të njëjtën përparësi dhe vlerëson nga e majta në të djathtë, prandaj kllapat nuk janë fakultative kur i përzieni. Mohoni një shprehje të grupuar në vend që të kombinoni dy mohime. Ai ndryshim i vetëm ndan një filtër që funksionon nga një regjistrim plot me shtypjen tuaj. referenca e filtrit pcap është mjaft e shkurtër për t'u lexuar në terminal dhe ia vlen të kontrollohet sa herë që një filtër sillet në mënyrë të papritur.

Vendosni sipas asaj që regjistrimi duhet të provojë

Vendosni sa të përjashtoni duke pyetur se çfarë duhet të provojë regjistrimi. Nëse duhet të shihni trafikun e aplikacioneve drejt të njëjtit host, përjashtoni vetëm portën SSH dhe pranoni zhurmën e sesioneve të tjera. Nëse hosti është i parëndësishëm për pyetjen, përjashtimi i plotë është më i thjeshtë dhe heq një klasë të tërë paketash të vetëgjeneruara. Shkruani zgjedhjen pranë skedarit të regjistrimit, sepse një filtër është një supozim për provat.

Zgjedhja e ndërfaqes vendos atë që mund të shihni fare. Në tunel shihni trafikun e brendshëm; në ndërfaqen fizike shihni transportin e enkriptuar. Nëse paketat e menaxhimit mungojnë tashmë në pikën që keni zgjedhur, asnjë përjashtim nuk do të rregullojë një regjistrim të drejtuar drejt shtresës së gabuar.