Hoe om te bepaal watter adres die FTP-bediener werklik log

Een logreel wys een adres. Die skootrekenaar dra 'n tonneladres, die verbinding kan deur 'n ander uitgang verlaat, en die blaaierkontrole wat jy gedoen het, bewys niks oor FTP. Daardie drie kan almal verskil, en die logreel teken altyd net een van hulle op. Bepaal watter verbinding jy ondersoek voordat jy enigiets vergelyk.

Hierdie stappe veronderstel 'n gemagtigde ondersoek met 'n vasgestelde tydvenster, nie 'n deurblaai deur iemand anders se oordragte nie.

1. Bepaal watter verbinding jy ondersoek

FTP gebruik twee verbindings. Die beheerverbinding dra opdragte en antwoorde, en die datavenbinding dra die lêer self. 'n Aanmeldgebeurtenis hoort by die eerste, 'n oordraggebeurtenis by die tweede, so een sessie in 'n log kan waarnemings uit twee verskillende netwerkpaaie bevat. Skryf neer by watter gebeurtenis die adresveld hoort voordat jy gevolgtrekkings daaruit maak.

Die splitsing het 'n praktiese gevolg. 'n Aanmeldreël en 'n oordragreël uit dieselfde sessie kan twee verskillende bronadresse dra, so om een van hulle as “die kliëntadres” aan te haal, is 'n raaiskoot oor watter verbinding jy lees. Kontroleer die gebeurtenistipe voordat jy 'n adres met enigiets vergelyk.

2. Volg die beheerverbinding

Voer die kliënt uit met debug-uitset geaktiveer, of vang op die kliënt terwyl dit verbind, en let op die eweknie wat dit werklik bereik. As 'n VPN aktief is en die kliënt loop deur dit, sien die bediener die VPN-uitgangadres eerder as die skootrekenaar se toegangsnetwerkadres.

As die kliënt die tonnel omseil, sien die bediener die toegangsadres en die VPN-koppelvlak se eie adres verskyn nooit op die draad nie. Daarom is die skootrekenaar se tonneladres gewoonlik die minste nuttige waarde in die prent: dit bestaan net binne die tonnel. Gebruik ss of 'n pakketopname om die bron te bevestig wat die kliënt voorlê, eerder as om dit van 'n konfigurasieskerm af te lees.

Twee opdragte dek die meeste daarvan:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Die eerste lys die plaaslike en eweknie-eindpunte wat jou eie stok gebruik het. Die tweede wys die adresse wat op die draad geskryf is, wat nader aan die bediener se siening is, maar steeds by jou koppelvlak stop, so net die bediener se log of sy eie opname wys wat die bediener opgeteken het.

3. Kontroleer of die datavenbinding ooreenstem

In passiewe modus sê die bediener vir die kliënt waar om te verbind, en in aktiewe modus verbind die bediener terug na 'n adres wat die kliënt verskaf het. Albei modusse kan die datavenbinding na 'n ander plek as die beheerverbinding stuur wanneer vertaling of 'n volmag in die pad sit. Bevestig die modus uit die kliëntlog, en kontroleer dan of die datavenbinding dieselfde pad gebruik het.

'n Oordrag wat van 'n ander adres as die aanmelding opgeteken is, is 'n werklike waarneming eerder as 'n korrupte rekord, en dit sê gewoonlik iets oor die pad.

4. Vra die operateur vir 'n nou rekord

Gee die bedieneroperateur die sessie-tyd met sy tydsone, die rekening, die bewerking en die bestemming. Vra watter verbinding die adresveld voortgebring het, en of 'n betroubare tussentydse rolspeler sy betekenis verander.

Lees daardie bediener se werklike skema eerder as om aan te neem dat elke produk die oorspronklike kliënt, die beheer-eweknie en die data-eweknie afsonderlik opteken, want sommige som 'n hele sessie onder een reël op. Hou ook die protokol duidelik: SFTP is 'n SSH-gebaseerde protokol eerder as FTP op 'n ander poort, en FTPS voeg TLS by FTP, so die diensidentiteit in die log hang af van watter een jy ontplooi het.

5. Verifieer voordat jy toeskryf

Een uitgangadres kan baie kliënte bedien, en een rekening kan van verskeie toegelate bronne gebruik word, so 'n adres en 'n gebruikernaam identifiseer nie dieselfde eenheid nie. Logging is 'n bedienerbeleid: 'n VPN verander die bron wat 'n verbinding voorlê, maar dit wis nie die rekeningnaam, die lêernaam of die bewerking wat die ontvangende diens verwerk het nie. Skryf net toe wat die rekord wys en merk die res as onbekend. Die WinSCP se FTP-beskrywing is 'n bondige verwysing vir die twee-verbinding-model as jy dit vir iemand anders moet verduidelik.

Twee gewone gevalle wys waarom dit saak maak. 'n Kantoor kan elke gebruiker deur een uitgangadres uitstuur, so honderd mense produseer een waarde in die log. Die omgekeerde gebeur net so dikwels: een rekening verbind in dieselfde week van 'n tuislyn en van 'n kantoorlyn, en albei inskrywings beskryf dieselfde persoon.