คุณควรตัดการไหลของ SSH ออกจากการดักจับระยะไกลหรือไม่

การดักจับบนเครื่องระยะไกลขณะที่คุณดูผลลัพธ์ผ่านการเชื่อมต่อเดียวกันเป็นการวัดที่อ้างถึงตัวเอง และมันบิดเบือนสิ่งที่คุณกำลังวัด แพ็กเก็ตทุกแพ็กเก็ตที่คุณพิมพ์จะเดินทางกลับผ่านเซสชันที่กำลังถูกดักจับ การตัดการไหลนั้นออกมักถูกต้อง แต่ขนาดของการตัดออกเป็นการตัดสินใจจริง แคบเกินไปการดักจับก็ท่วมตัวเอง กว้างเกินไปหลักฐานก็หายไป

ทำไมการดักจับจึงบันทึกตัวเอง

การดักจับมองเห็นเส้นทางกลับของผลลัพธ์ของตัวเอง ทุกบรรทัดที่พิมพ์ไปยังเทอร์มินัลของคุณจะกลายเป็นแพ็กเก็ตหนึ่งหรือหลายแพ็กเก็ตบนการเชื่อมต่อสำหรับจัดการ ซึ่งตัวกรองจะจับคู่และพิมพ์ซ้ำ ผลลัพธ์คือลูปที่โตขึ้นจนบัฟเฟอร์หรือลิงก์ยอมแพ้

นั่นคือเหตุผลที่การดักจับที่เขียนลงไฟล์ดูปกติ แต่การดักจับเดียวกันเมื่อสตรีมสดกลับใช้ไม่ได้ การรับส่งข้อมูลไม่ใช่ของใหม่ คุณเป็นคนสร้างมันขึ้นมา การดักจับสิบวินาทีสามารถสร้างผลลัพธ์ได้มากกว่าที่ลิงก์จะรับไหวเมื่อลูปเริ่มทำงาน

สร้างการตัดออกเป็นกลุ่มเดียว

เริ่มจากวิธีที่โฮสต์ระยะไกลมองเห็นเซสชันของคุณ ไม่ใช่จากที่อยู่ในเทอร์มินัลท้องถิ่นของคุณ โฮสต์กระโดดหรืออุปกรณ์ NAT อาจทำให้อีกฝ่ายเป็นสิ่งที่คุณไม่เคยพิมพ์ ดังนั้นอ่านที่อยู่จากมุมมองของฝั่งระยะไกลเอง จากนั้นจัดกลุ่มโฮสต์และพอร์ตเข้าด้วยกันเพื่อให้การปฏิเสธมีผลกับคู่นั้น

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

การใส่เครื่องหมายคำพูดครอบนิพจน์ทั้งหมดป้องกันไม่ให้เชลล์อ่านวงเล็บเป็นไวยากรณ์ พิมพ์ตัวกรองกลับมาก่อนที่คุณจะเชื่อผลลัพธ์

ตัวกรองที่ดูถูกต้องแต่เก็บทุกอย่างไว้

ตัวกรองที่ผิดคือตัวที่อ่านแล้วเป็นธรรมชาติ: ต้นทางไม่ใช่อีกฝ่าย หรือปลายทางไม่ใช่อีกฝ่าย สำหรับแพ็กเก็ตจากเวิร์กสเตชันของคุณ การทดสอบแรกเป็นจริง สำหรับการตอบกลับการทดสอบที่สองเป็นจริง การรวมทั้งสองด้วย or จะเก็บทั้งสองทิศทาง ซึ่งเป็นสิ่งที่คุณตั้งใจจะทิ้งพอดี

ตรรกะตัวกรอง pcap ให้ and และ or มีลำดับความสำคัญเท่ากันและประเมินจากซ้ายไปขวา วงเล็บจึงไม่ใช่ตัวเลือกเมื่อคุณผสมทั้งสอง ถ้าคุณปฏิเสธนิพจน์ที่จัดกลุ่มหนึ่งนิพจน์แทนการรวมการปฏิเสธสองครั้ง การเปลี่ยนเพียงครั้งนั้นแยกตัวกรองที่ใช้งานได้ออกจากการดักจับที่เต็มไปด้วยการพิมพ์ของคุณเอง เอกสารอ้างอิงตัวกรอง pcap สั้นพอที่จะอ่านในเทอร์มินัลและคุ้มค่าที่จะเปิดดูทุกครั้งที่ตัวกรองทำงานผิดคาด

ตัดสินใจจากสิ่งที่การดักจับต้องพิสูจน์

ตัดสินใจว่าจะตัดออกเท่าไรด้วยการถามว่าการดักจับต้องพิสูจน์อะไร หากคุณต้องดูการรับส่งข้อมูลของแอปพลิเคชันไปยังโฮสต์เดียวกัน ให้ตัดเฉพาะพอร์ต SSH และยอมรับเสียงรบกวนจากเซสชันอื่น หากโฮสต์ไม่เกี่ยวข้องกับคำถาม การตัดออกทั้งหมดจะง่ายกว่าและกำจัดแพ็กเก็ตที่สร้างขึ้นเองทั้งชั้นออกไป เขียนทางเลือกไว้ข้างไฟล์ดักจับ เพราะตัวกรองคือสมมติฐานเกี่ยวกับหลักฐาน

การเลือกอินเทอร์เฟซเป็นตัวกำหนดว่าคุณเห็นอะไรได้บ้าง. บนอุโมงค์คุณเห็นการรับส่งข้อมูลภายใน บนอินเทอร์เฟซทางกายภาพคุณเห็นการขนส่งที่เข้ารหัส หากแพ็กเก็ตสำหรับจัดการหายไปแล้ว ณ จุดที่คุณเลือก การตัดออกใดๆ ก็ไม่สามารถแก้ไขการดักจับที่เล็งผิดชั้นได้