Як вызначыць, які адрас FTP-сервер сапраўды запісвае ў журнал

Радок журнала паказвае адзін адрас. Ноўтбук мае адрас тунеля, злучэнне можа выходзіць праз іншы выхад, а праверка браўзера, якую вы зрабілі, нічога не даказвае пра FTP. Усе трое могуць адрознівацца, і радок журнала запісвае толькі адзін з іх. Вызначце, пра якое злучэнне вы пытаецеся, перш чым нешта параўноўваць.

Гэтыя крокі мяркуюць дазволенае даследаванне з вызначаным часавым акном, а не прагляд чужых перадач.

1. Вызначце, пра якое злучэнне вы пытаецеся

FTP выкарыстоўвае два злучэнні. Кіравальнае злучэнне нясе каманды і адказы, а даное злучэнне нясе сам файл. Падзея ўваходу належыць першаму, падзея перадачы — другому, таму адна сесія ў журнале можа змяшчаць назіранні з двух розных сеткавых шляхоў. Запішыце, да якой падзеі належыць поле адраса, перш чым рабіць з яго высновы.

Гэта раздзяленне мае практычныя наступствы. Радок уваходу і радок перадачы з адной сесіі могуць несці два розныя адрасы крыніцы, таму цытаваць любы з іх як «адрас кліента» — гэта здагадка пра тое, якое злучэнне вы чытаеце. Праверце тып падзеі, перш чым супастаўляць адрас з чым-небудзь.

2. Прасачыце за кіравальным злучэннем

Запусціце кліент з уключаным адладкавым вывадам або зрабіце перахоп на кліенце, пакуль ён падключаецца, і запішыце суразмоўцу, да якога ён фактычна дасягае. Калі VPN уключаны і кліент ідзе праз яго, сервер бачыць адрас выхаду VPN, а не адрас сеткі доступу ноўтбука.

Калі кліент абыходзіць тунель, сервер бачыць адрас доступу, а ўласны адрас інтэрфейса VPN ніколі не з’яўляецца ў сетцы. Менавіта таму адрас тунеля ноўтбука звычайна найменш карысная велічыня на карціне: ён існуе толькі ўнутры тунеля. Выкарыстайце ss або перахоп пакетаў, каб пацвердзіць крыніцу, якую прадстаўляе кліент, а не чытайце яе з экрана канфігурацыі.

Большасць гэтага пакрываюць дзве каманды:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Першая пералічвае лакальныя і суразмоўныя канцавыя пункты, якія выкарыстоўваў ваш уласны стек. Другая паказвае адрасы, запісаныя ў сетцы, што бліжэй да погляду сервера, але ўсё яшчэ спыняецца на вашым інтэрфейсе, таму толькі журнал сервера або яго ўласны перахоп паказвае, што сервер запісаў.

3. Праверце, ці супадае даное злучэнне

У пасіўным рэжыме сервер кажа кліенту, куды падключацца, а ў актыўным рэжыме сервер падключаецца назад да адраса, які прадставіў кліент. Абодва рэжымы могуць адпраўляць даное злучэнне ў іншае месца, чым кіравальнае злучэнне, калі ў шляху знаходзіцца трансляцыя або проксі. Пацвердзіце рэжым з журнала кліента, затым праверце, ці выкарыстоўвала даное злучэнне той жа шлях.

Перадача, запісаная з іншага адраса, чым уваход, — гэта рэальнае назіранне, а не пашкоджаны запіс, і яно звычайна кажа нешта пра шлях.

4. Папрасіце ў аператара вузкі запіс

Дайце аператару сервера час сесіі з яго часавым поясам, уліковы запіс, аперацыю і прызначэнне. Спытайцеся, якое злучэнне стварыла поле адраса і ці змяняе давераны пасярэднік яго сэнс.

Чытайце фактычную схему гэтага сервера, а не мяркуйце, што кожны прадукт запісвае зыходнага кліента, кіравальнага суразмоўцу і данага суразмоўцу асобна, бо некаторыя зводзяць усю сесію ў адзін радок. Трымайце і пратакол ясным: SFTP — гэта пратакол на базе SSH, а не FTP на іншым порце, а FTPS дадае TLS да FTP, таму ідэнтычнасць службы ў журнале залежыць ад таго, якую вы разгарнулі.

5. Праверце, перш чым прыпісваць

Адзін адрас выхаду можа абслугоўваць шмат кліентаў, а адзін уліковы запіс можна выкарыстоўваць з некалькіх дазволеных крыніц, таму адрас і імя карыстальніка не ідэнтыфікуюць адну адзінку. Журнал — гэта палітыка сервера: VPN змяняе крыніцу, якую прадстаўляе злучэнне, але не сцірае імя ўліковага запісу, імя файла або аперацыю, якую апрацавала служба-атрымальнік. Прыпісвайце толькі тое, што паказвае запіс, а астатняе пазначайце як невядомае. Апісанне FTP у WinSCP — гэта кампактная даведка пра мадэль двух злучэнняў, калі вам трэба камусьці яе паясьніць.

Два звычайныя выпадкі паказваюць, чаму гэта важна. Офіс можа адпраўляць кожнага карыстальніка праз адзін адрас выхаду, таму сто чалавек ствараюць адно значэнне ў журнале. Адваротнае здараецца гэтак жа часта: адзін уліковы запіс падключаецца з хатняй лініі і з офіснай лініі ў адзін тыдзень, і абодва запісы апісваюць аднаго чалавека.