Да ли треба искључити SSH ток из даљинског снимања?

Снимање на удаљеној машини док гледате излаз кроз исту везу је самореферентно мерење и искривљује оно што мерите. Сваки пакет који испишете путује назад кроз сесију која се снима. Искључивање тог тока је обично исправно, али величина искључивања је стварна одлука. Превише уско и снимање се само поплави; превише широко и докази нестају.

Зашто снимање снима само себе

Снимање види повратни пут сопственог излаза. Сваки ред исписан на вашем терминалу постаје један или више пакета на управљачкој вези, које филтер затим поклапа и поново исписује. Резултат је петља која расте док бафер или веза не попусте.

Зато снимање записано у датотеку изгледа добро, а исто снимање преношено уживо постаје неупотребљиво. Саобраћај није нов; ви сте га створили. Десетосекундно снимање може да произведе више излаза него што веза може да поднесе кад петља почне.

Изградите искључивање као једну групу

Почните од тога како удаљени домаћин види вашу сесију, а не од адресе у вашем локалном терминалу. Скок домаћин или NAT уређај могу да учине да друга страна буде нешто што никад нисте унели, зато прочитајте адресу из сопственог погледа удаљене стране. Затим групишите домаћин и порт заједно, тако да се негација примењује на пар.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Стављање целог израза под наводнике спречава љуску да заграде чита као синтаксу. Испишите филтер поново пре него што поверујете резултату.

Филтер који изгледа исправно и задржава све

Погрешан филтер је онај који се чита природно: извор није друга страна или одредиште није друга страна. За пакет са ваше радне станице први тест је истинит; за одговор други. Њихово повезивање са or задржава оба смера, што је управо оно што сте намеравали да одбаците.

Логика pcap филтера даје and и or једнак приоритет и вреднује слева надесно, зато заграде нису опционе када их мешате. Негирајте један груписани израз уместо да комбинујете две негације. Та једна промена раздваја исправан филтер од снимања пуног вашег сопственог куцања. референца за pcap филтер је довољно кратка да се прочита у терминалу и вреди је проверити кад се филтер понаша неочекивано.

Одлучите према ономе што снимање мора да докаже

Одлучите колико да искључите питајући шта снимање мора да докаже. Ако треба да видите саобраћај апликација ка истом домаћину, искључите само SSH порт и прихватите шум других сесија. Ако је домаћин небитан за питање, потпуно искључивање је једноставније и уклања читаву класу самостворених пакета. Запишите избор поред датотеке снимања, јер филтер је претпоставка о доказима.

Избор интерфејса одлучује шта уопште можете да видите. У тунелу видите унутрашњи саобраћај; на физичком интерфејсу видите шифровани транспорт. Ако управљачки пакети већ недостају на месту које сте одабрали, никакво искључивање неће поправити снимање усмерено на погрешан слој.