Dapat ka bang mag-alis ng SSH flow mula sa malayong capture?

Ang pag-capture sa isang malayong makina habang pinapanood mo ang output sa pamamagitan ng parehong koneksyon ay isang pagsukat na tumutukoy sa sarili, at binabaluktot nito ang sinusukat mo. Ang bawat packet na ipi-print mo ay bumabalik sa session na kinukuha. Ang pag-alis ng daloy na iyon ay karaniwang tama, ngunit ang laki ng pag-alis ay isang tunay na desisyon. Masyadong makitid at ang capture ay umaapaw sa sarili nito; masyadong malawak at nawawala ang ebidensya.

Bakit itinatala ng capture ang sarili nito

Nakikita ng capture ang pabalik na landas ng sarili nitong output. Ang bawat linyang ipi-print sa iyong terminal ay nagiging isa o higit pang packet sa koneksyon ng pamamahala, na pagkatapos ay itinutugma ng filter at ipi-print muli. Ang resulta ay isang loop na lumalaki hanggang sumuko ang buffer o ang link.

Iyan ang dahilan kung bakit ang isang capture na isinulat sa file ay mukhang maayos at ang parehong capture na ini-stream nang live ay nagiging hindi magamit. Ang trapiko ay hindi bago; ikaw ang gumawa nito. Ang capture na sampung segundo ay makakagawa ng mas maraming output kaysa kayang dalhin ng link kapag nagsimula ang loop.

Buuin ang pag-alis bilang isang pangkat

Magsimula sa kung paano nakikita ng malayong host ang iyong session, hindi sa address sa iyong lokal na terminal. Ang isang jump host o aparatong NAT ay maaaring gawing isang bagay na hindi mo kailanman naipasok ang kabilang panig, kaya basahin ang address mula sa sariling pananaw ng malayong panig. Pagkatapos ay pagsama-samahin ang host at port upang mailapat ang negasyon sa pares.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Ang paglalagay ng buong expression sa mga panipi ay pumipigil sa shell na basahin ang mga panaklong bilang sintaks. I-print muli ang filter bago ka magtiwala sa resulta.

Ang filter na mukhang tama at nagpapanatili ng lahat

Ang maling filter ay ang natural na mabasa: ang pinagmulan ay hindi ang kabilang panig, o ang destinasyon ay hindi ang kabilang panig. Para sa packet mula sa iyong workstation, ang unang pagsubok ay totoo; para sa tugon, ang pangalawa. Ang pagsama sa kanila gamit ang or ay nagpapanatili ng parehong direksyon, na siyang eksaktong gusto mong itapon.

Ang lohika ng filter ng pcap ay nagbibigay ng pantay na priyoridad sa and at or at nagsusuri mula kaliwa pakanan, kaya ang mga panaklong ay hindi opsyonal kapag pinagsasama mo sila. Tanggihan ang isang pinagsama-samang expression sa halip na pagsamahin ang dalawang negasyon. Ang nag-iisang pagbabagong iyon ay naghihiwalay ng gumaganang filter sa isang capture na puno ng sarili mong pag-type. sanggunian ng filter ng pcap ay sapat na maikli upang basahin sa terminal at sulit tingnan tuwing kakaiba ang kilos ng isang filter.

Magpasya batay sa dapat patunayan ng capture

Magpasya kung gaano karami ang aalisin sa pamamagitan ng pagtatanong kung ano ang dapat patunayan ng capture. Kung kailangan mong makita ang trapiko ng aplikasyon patungo sa parehong host, alisin lamang ang port ng SSH at tanggapin ang ingay mula sa ibang session. Kung ang host ay walang kaugnayan sa tanong, ang ganap na pag-alis nito ay mas simple at nag-aalis ng isang buong klase ng mga packet na sariling nalikha. Isulat ang pagpili sa tabi ng file ng capture, dahil ang filter ay isang palagay tungkol sa ebidensya.

Ang pagpili ng interface ang nagtatakda kung ano ang makikita mo. Sa tunnel nakikita mo ang panloob na trapiko; sa pisikal na interface nakikita mo ang naka-encrypt na transport. Kung wala na ang mga packet ng pamamahala sa puntong pinili mo, walang pag-alis na makakapag-ayos ng capture na nakatutok sa maling layer.