Uzak bir yakalamadan SSH akışını dışlamalı mısınız?

Çıktıyı aynı bağlantı üzerinden izlerken uzak bir makinede yakalama yapmak, kendine gönderme yapan bir ölçümdür ve ölçtüğünüz şeyi çarpıtır. Yazdırdığınız her paket, yakalanan oturum üzerinden geri döner. Bu akışı dışlamak genellikle doğrudur, ancak dışlamanın boyutu gerçek bir karardır. Çok dar olursa yakalama kendini boğar; çok geniş olursa kanıtlar kaybolur.

Yakalama neden kendini kaydeder

Yakalama, kendi çıktısının dönüş yolunu görür. Terminalinize yazdırılan her satır, yönetim bağlantısında bir veya daha fazla paket olur ve filtrenin bunları eşleştirip yeniden yazdırmasına yol açar. Sonuç, tampon veya bağlantı pes edene kadar büyüyen bir döngüdür.

Bu yüzden bir dosyaya yazılan yakalama iyi görünürken aynı yakalamanın canlı akıtılması kullanılamaz hale gelir. Trafik yeni değil; onu siz yarattınız. On saniyelik bir yakalama, döngü başladıktan sonra bağlantının taşıyabileceğinden daha fazla çıktı üretebilir.

Dışlamayı tek bir grup olarak kurun

Yerel terminalinizdeki adresten değil, uzak ana bilgisayarın oturumunuzu nasıl gördüğünden başlayın. Bir atlama ana bilgisayarı veya NAT cihazı, karşı tarafı hiç yazmadığınız bir şeye dönüştürebilir, bu yüzden adresi uzak tarafın kendi bakış açısından okuyun. Ardından ana bilgisayarı ve bağlantı noktasını birlikte gruplayın, böylece olumsuzlama çifte uygulanır.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Tüm ifadeyi tırnak içine almak, kabuğun parantezleri sözdizimi olarak okumasını engeller. Sonuca güvenmeden önce filtreyi yeniden yazdırın.

Doğru görünen ama her şeyi tutan filtre

Yanlış filtre, doğal okunanıdır: kaynak karşı taraf değil ya da hedef karşı taraf değil. İş istasyonunuzdan gelen bir paket için ilk test doğrudur; yanıt için ikincisi. Bunları or ile birleştirmek iki yönü de tutar, ki atmak istediğiniz tam olarak budur.

pcap filtre mantığı and ve or'a eşit öncelik verir ve soldan sağa değerlendirir, bu yüzden onları karıştırdığınızda parantezler isteğe bağlı değildir. İki olumsuzlamayı birleştirmek yerine tek bir gruplanmış ifadeyi olumsuzlayın. Bu tek değişiklik, çalışan bir filtreyi kendi yazdıklarınızla dolu bir yakalamadan ayırır. pcap filtre başvurusu terminalde okunacak kadar kısa ve filtre beklenmedik davrandığında göz atmaya değer.

Yakalamanın neyi kanıtlaması gerektiğine göre karar verin

Neyi ne kadar dışlayacağınıza, yakalamanın neyi kanıtlaması gerektiğini sorarak karar verin. Aynı ana bilgisayara giden uygulama trafiğini görmeniz gerekiyorsa yalnızca SSH bağlantı noktasını dışlayın ve diğer oturumların gürültüsünü kabul edin. Ana bilgisayar soruyla ilgisizse tamamen dışlamak daha basittir ve kendi kendine oluşan paketlerin bütün bir sınıfını ortadan kaldırır. Seçimi yakalama dosyasının yanına yazın, çünkü filtre kanıtlarla ilgili bir varsayımdır.

Arayüz seçimi neyi görebileceğinizi belirler. Tünelde iç trafiği görürsünüz; fiziksel arayüzde şifrelenmiş taşımayı görürsünüz. Yönetim paketleri seçtiğiniz noktada zaten yoksa, hiçbir dışlama yanlış katmana yönelmiş bir yakalamayı düzeltmez.