Bạn có nên loại trừ luồng SSH khỏi bản bắt từ xa?

Bắt gói trên một máy từ xa trong khi bạn xem đầu ra qua chính kết nối đó là một phép đo tự quy chiếu, và nó bóp méo thứ bạn đang đo. Mỗi gói bạn in ra đều quay lại qua phiên đang được bắt. Loại trừ luồng đó thường là đúng, nhưng quy mô của việc loại trừ là một quyết định thực sự. Quá hẹp thì bản bắt tự làm ngập chính nó; quá rộng thì bằng chứng biến mất.

Vì sao bản bắt tự ghi lại chính nó

Bản bắt nhìn thấy đường về của chính đầu ra nó tạo ra. Mỗi dòng in ra terminal của bạn trở thành một hoặc nhiều gói trên kết nối quản trị, rồi bộ lọc khớp chúng và in lại. Kết quả là một vòng lặp lớn dần cho đến khi bộ đệm hoặc đường truyền bỏ cuộc.

Đó là lý do một bản bắt ghi ra tệp trông vẫn ổn còn cùng bản bắt đó phát trực tiếp lại trở nên vô dụng. Lưu lượng không phải là mới; chính bạn đã tạo ra nó. Một bản bắt mười giây có thể tạo ra nhiều đầu ra hơn mức đường truyền chịu được khi vòng lặp bắt đầu.

Dựng việc loại trừ thành một nhóm duy nhất

Hãy bắt đầu từ cách máy chủ từ xa nhìn thấy phiên của bạn, không phải từ địa chỉ trong terminal cục bộ. Một máy chủ nhảy hoặc thiết bị NAT có thể khiến phía đối diện thành thứ bạn chưa từng gõ, vì vậy hãy đọc địa chỉ theo góc nhìn của chính phía từ xa. Sau đó nhóm máy chủ và cổng lại với nhau để phép phủ định áp dụng cho cả cặp.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Đặt toàn bộ biểu thức trong dấu ngoặc kép giúp shell không đọc dấu ngoặc đơn như cú pháp. Hãy in lại bộ lọc trước khi tin vào kết quả.

Bộ lọc trông có vẻ đúng mà lại giữ mọi thứ

Bộ lọc sai là bộ lọc đọc lên rất tự nhiên: nguồn không phải phía đối diện, hoặc đích không phải phía đối diện. Với gói từ máy trạm của bạn, phép thử đầu tiên đúng; với gói trả lời, phép thử thứ hai đúng. Kết hợp chúng bằng or sẽ giữ cả hai chiều, đúng là thứ bạn định bỏ đi.

Logic bộ lọc pcap cho and và or cùng mức ưu tiên và đánh giá từ trái sang phải, nên dấu ngoặc không phải là tùy chọn khi bạn trộn chúng. Hãy phủ định một biểu thức đã nhóm thay vì kết hợp hai phép phủ định. Chính thay đổi đó tách một bộ lọc hoạt động khỏi một bản bắt đầy những gì bạn tự gõ. tài liệu tham khảo bộ lọc pcap đủ ngắn để đọc ngay trong terminal và đáng xem mỗi khi một bộ lọc hành xử bất thường.

Quyết định theo điều bản bắt phải chứng minh

Hãy quyết định loại trừ bao nhiêu bằng cách hỏi bản bắt phải chứng minh điều gì. Nếu bạn cần thấy lưu lượng ứng dụng tới cùng máy chủ, chỉ loại trừ cổng SSH và chấp nhận nhiễu từ các phiên khác. Nếu máy chủ không liên quan đến câu hỏi, loại trừ hoàn toàn sẽ đơn giản hơn và gỡ bỏ cả một lớp gói tự sinh. Hãy ghi lựa chọn bên cạnh tệp bắt, vì bộ lọc là một giả định về bằng chứng.

Việc chọn giao diện quyết định bạn có thể thấy gì. Trên đường hầm bạn thấy lưu lượng bên trong; trên giao diện vật lý bạn thấy phần vận chuyển đã mã hóa. Nếu các gói quản trị đã vắng mặt ngay tại điểm bạn chọn, không mức loại trừ nào sửa được một bản bắt nhắm sai tầng.