کیا آپ کو ریموٹ کیپچر سے SSH بہاؤ خارج کرنا چاہیے؟

ایک ہی کنکشن کے ذریعے آؤٹ پٹ دیکھتے ہوئے دور کی مشین پر کیپچر کرنا خود حوالہ پیمائش ہے، اور یہ اس چیز کو بگاڑ دیتا ہے جسے آپ ناپ رہے ہیں۔ آپ جو بھی پیکٹ چھاپتے ہیں وہ اسی سیشن سے واپس آتا ہے جسے کیپچر کیا جا رہا ہے۔ اس بہاؤ کو خارج کرنا عام طور پر درست ہے، لیکن اخراج کا حجم ایک حقیقی فیصلہ ہے۔ بہت تنگ ہو تو کیپچر خود اپنے اوپر بہہ جاتا ہے؛ بہت چوڑا ہو تو ثبوت غائب ہو جاتے ہیں۔

کیپچر خود کو کیوں ریکارڈ کرتا ہے

کیپچر اپنے ہی آؤٹ پٹ کا واپسی راستہ دیکھتا ہے۔ آپ کے ٹرمینل پر چھپی ہر سطر انتظامی کنکشن پر ایک یا زیادہ پیکٹ بن جاتی ہے، جنہیں فلٹر پھر ملا کر دوبارہ چھاپتا ہے۔ نتیجہ ایک لوپ ہے جو بفر یا لنک ہار ماننے تک بڑھتا ہے۔

اسی لیے فائل میں لکھا کیپچر اچھا لگتا ہے اور وہی کیپچر براہ راست اسٹریم کرنے پر ناقابل استعمال ہو جاتا ہے۔ ٹریفک نیا نہیں ہے؛ یہ آپ نے بنایا ہے۔ دس سیکنڈ کا کیپچر لوپ شروع ہونے کے بعد لنک کے برداشت سے زیادہ آؤٹ پٹ دے سکتا ہے۔

اخراج کو ایک ہی گروپ کے طور پر بنائیں

اپنے مقامی ٹرمینل کے پتے سے نہیں، بلکہ اس بات سے شروع کریں کہ ریموٹ میزبان آپ کا سیشن کیسے دیکھتا ہے۔ جمپ میزبان یا NAT آلہ سامنے والے فریق کو ایسی چیز بنا سکتا ہے جو آپ نے کبھی ٹائپ نہیں کی، اس لیے پتہ دور والے فریق کے اپنے نقطہ نظر سے پڑھیں۔ پھر میزبان اور پورٹ کو اکٹھا گروپ کریں تاکہ نفی جوڑی پر لاگو ہو۔

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

پوری عبارت کو اقتباس میں رکھنا شیل کو قوسین کو نحو کے طور پر پڑھنے سے روکتا ہے۔ نتیجے پر بھروسہ کرنے سے پہلے فلٹر دوبارہ چھاپیں۔

وہ فلٹر جو صحیح لگتا ہے اور سب کچھ رکھے رکھتا ہے

غلط فلٹر وہ ہے جو فطری طور پر پڑھا جاتا ہے: ماخذ سامنے والا فریق نہیں ہے، یا منزل سامنے والا فریق نہیں ہے۔ آپ کے ورک سٹیشن سے آنے والے پیکٹ کے لیے پہلا ٹیسٹ درست ہے؛ جواب کے لیے دوسرا۔ انہیں or سے ملانا دونوں سمتیں رکھتا ہے، جو بالکل وہی ہے جو آپ نے گرانا چاہا تھا۔

pcap فلٹر منطق and اور or کو یکساں ترجیح دیتی ہے اور بائیں سے دائیں تشخیص کرتی ہے، اس لیے انہیں ملانے پر قوسین اختیاری نہیں ہیں۔ دو نفیوں کو ملانے کے بجائے ایک گروپ شدہ عبارت کی نفی کریں۔ وہی ایک تبدیلی کام کرنے والے فلٹر کو آپ کی اپنی ٹائپنگ سے بھرے کیپچر سے الگ کرتی ہے۔ pcap فلٹر حوالہ ٹرمینل میں پڑھنے کے لیے کافی مختصر ہے اور جب بھی فلٹر غیر متوقع سلوک کرے اسے دیکھنا ضروری ہے۔

اس بات سے فیصلہ کریں کہ کیپچر کو کیا ثابت کرنا ہے

یہ پوچھ کر طے کریں کہ کتنا خارج کرنا ہے کہ کیپچر کو کیا ثابت کرنا ہے۔ اگر آپ کو اسی میزبان تک اطلاقیہ ٹریفک دیکھنا ہے تو صرف SSH پورٹ خارج کریں اور دیگر سیشنوں کا شور قبول کریں۔ اگر میزبان سوال سے غیر متعلق ہے تو اسے مکمل طور پر خارج کرنا آسان ہے اور خود پیدا شدہ پیکٹوں کی پوری صنف ہٹا دیتا ہے۔ انتخاب کو کیپچر فائل کے ساتھ لکھیں، کیونکہ فلٹر ثبوت کے بارے میں ایک مفروضہ ہے۔

انٹرفیس کا انتخاب ہی طے کرتا ہے کہ آپ کیا دیکھ سکتے ہیں۔ ٹنل پر آپ اندرونی ٹریفک دیکھتے ہیں؛ طبیعی انٹرفیس پر خفیہ کردہ نقل و حمل دیکھتے ہیں۔ اگر آپ کے منتخب کردہ مقام پر انتظامی پیکٹ پہلے ہی موجود نہیں ہیں تو کوئی بھی اخراج غلط پرت کو نشانہ بنائے گئے کیپچر کو درست نہیں کرے گا۔