Как да разберем кой адрес FTP сървърът всъщност записва

Един ред от лога показва един адрес. Лаптопът носи адрес на тунел, връзката може да излезе през друг изход, а проверката в браузъра, която направихте, не доказва нищо за FTP. И трите могат да се различават и редът от лога записва само един от тях. Решете за коя връзка питате, преди да сравнявате каквото и да е.

Тези стъпки предполагат разрешено разследване с определен времеви прозорец, а не преглед на чужди трансфери.

1. Определете за коя връзка питате

FTP използва две връзки. Контролната връзка носи командите и отговорите, а връзката за данни носи самия файл. Събитие за вход принадлежи на първата, събитие за трансфер — на втората, така че една сесия в лога може да съдържа наблюдения от два различни мрежови пътя. Запишете към кое събитие принадлежи полето за адрес, преди да правите изводи от него.

Разделението има практическа последица. Ред за вход и ред за трансфер от една и съща сесия могат да носят два различни адреса на източника, така че да цитирате който и да е от тях като „адрес на клиента“ е догадка за това коя връзка четете. Проверете типа на събитието, преди да съпоставяте адрес с каквото и да е.

2. Проследете контролната връзка

Стартирайте клиента с включен дебъг изход или направете прихващане на клиента, докато се свързва, и отбележете партньора, който той действително достига. Ако VPN е включен и клиентът минава през него, сървърът вижда адреса на изхода на VPN, а не адреса на мрежата за достъп на лаптопа.

Ако клиентът заобиколи тунела, сървърът вижда адреса за достъп и собственият адрес на VPN интерфейса никога не се появява в мрежата. Ето защо адресът на тунела на лаптопа обикновено е най-малко полезната стойност в картината: той съществува само вътре в тунела. Използвайте ss или прихващане на пакети, за да потвърдите източника, който клиентът представя, вместо да го четете от екран за конфигурация.

Две команди покриват по-голямата част от това:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Първата изброява локалните и партньорските крайни точки, които вашият собствен стек е използвал. Втората показва адресите, записани в мрежата, което е по-близо до гледната точка на сървъра, но все пак спира на вашия интерфейс, така че само логът на сървъра или неговото собствено прихващане показва какво е записал сървърът.

3. Проверете дали връзката за данни съвпада

В пасивен режим сървърът казва на клиента къде да се свърже, а в активен режим сървърът се свързва обратно към адрес, който клиентът е предоставил. И двата режима могат да изпратят връзката за данни на различно място от контролната връзка, когато в пътя има транслация или прокси. Потвърдете режима от лога на клиента, след което проверете дали връзката за данни е използвала същия път.

Трансфер, записан от различен адрес от входа, е реално наблюдение, а не повреден запис, и обикновено казва нещо за пътя.

4. Помолете оператора за тесен запис

Дайте на оператора на сървъра времето на сесията с часовата ѝ зона, акаунта, операцията и дестинацията. Попитайте коя връзка е създала полето за адрес и дали доверен посредник променя значението му.

Прочетете действителната схема на този сървър, вместо да предполагате, че всеки продукт записва оригиналния клиент, контролния партньор и партньора за данни поотделно, защото някои обобщават цяла сесия в един ред. Пазете и протокола ясен: SFTP е протокол на базата на SSH, а не FTP на друг порт, а FTPS добавя TLS към FTP, така че идентичността на услугата в лога зависи от това коя сте внедрили.

5. Проверете, преди да припишете

Един адрес на изход може да обслужва много клиенти и един акаунт може да се използва от няколко разрешени източника, така че адрес и потребителско име не идентифицират една и съща единица. Записването е политика на сървъра: VPN променя източника, който връзката представя, но не изтрива името на акаунта, името на файла или операцията, която получаващата услуга е обработила. Приписвайте само това, което записът показва, и отбелязвайте останалото като неизвестно. Описанието на FTP в WinSCP е компактна справка за модела с две връзки, ако трябва да го обясните на някого.

Два обикновени случая показват защо това има значение. Един офис може да изпраща всеки потребител през един адрес на изход, така че сто души произвеждат една стойност в лога. Обратното се случва също толкова често: един акаунт се свързва от домашна линия и от офис линия в една и съща седмица и двата записа описват един и същ човек.