Com saber quina adreça registra realment el servidor FTP

Una línia de registre mostra una adreça. L’ordinador portàtil porta una adreça de túnel, la connexió pot sortir per una altra sortida, i la comprovació del navegador que heu fet no demostra res sobre FTP. Aquestes tres poden ser totes diferents, i la línia de registre només en registra una. Decidiu de quina connexió parleu abans de comparar res..

Aquests passos assumeixen una investigació autoritzada amb una finestra de temps definida, no un repàs de les transferències d’algú altre..

1. Fixeu de quina connexió parleu

FTP utilitza dues connexions. La connexió de control porta ordres i respostes, i la connexió de dades porta el fitxer mateix. Un esdeveniment d’inici de sessió pertany a la primera, un esdeveniment de transferència a la segona, així que una sessió en un registre pot contenir observacions de dos camins de xarxa diferents. Anoteu a quin esdeveniment pertany el camp d’adreça abans de treure’n conclusions..

Aquesta divisió té una conseqüència pràctica. Una línia d’inici de sessió i una línia de transferència de la mateixa sessió poden portar dues adreces d’origen diferents, així que citar-ne qualsevol com a “adreça del client” és una conjectura sobre quina connexió llegiu. Comproveu el tipus d’esdeveniment abans de fer coincidir una adreça amb res..

2. Seguiu la connexió de control

Executeu el client amb la sortida de depuració activada, o captureu el trànsit al client mentre es connecta, i anoteu el parell al qual arriba realment. Si hi ha una VPN activa i el client hi passa a través, el servidor veu l’adreça de sortida de la VPN i no l’adreça de la xarxa d’accés de l’ordinador portàtil.

Si el client evita el túnel, el servidor veu l’adreça d’accés i l’adreça pròpia de la interfície VPN no apareix mai al cable. Per això l’adreça de túnel de l’ordinador portàtil és normalment el valor menys útil de la imatge: només existeix dins del túnel. Feu servir ss o una captura de paquets per confirmar la font que presenta el client, en lloc de llegir-la en una pantalla de configuració..

Dues ordres cobreixen la major part:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

La primera llista els extrems local i parell que va utilitzar la vostra pròpia pila. La segona mostra les adreces escrites al cable, cosa que s’acosta més a la visió del servidor però encara s’atura a la vostra interfície, així que només el registre del servidor o la seva pròpia captura mostren què va registrar el servidor..

3. Comproveu si la connexió de dades coincideix

En mode passiu el servidor diu al client on s’ha de connectar, i en mode actiu el servidor es connecta a una adreça que el client ha proporcionat. Tots dos modes poden enviar la connexió de dades a un lloc diferent de la connexió de control quan hi ha traducció o un proxy al camí. Confirmeu el mode des del registre del client i després comproveu si la connexió de dades va fer servir el mateix camí..

Una transferència registrada des d’una adreça diferent de l’inici de sessió és una observació real i no un registre corrupte, i normalment diu alguna cosa sobre el camí..

4. Demaneu a l’operador un registre estret

Doneu a l’operador del servidor l’hora de la sessió amb la seva zona horària, el compte, l’operació i la destinació. Pregunteu quina connexió va produir el camp d’adreça i si un intermediari de confiança en canvia el significat..

Llegiu l’esquema real d’aquell servidor en lloc de suposar que cada producte registra el client original, el parell de control i el parell de dades per separat, perquè alguns resumixen tota una sessió en una sola línia. Manteniu també clar el protocol: SFTP és un protocol basat en SSH i no FTP en un altre port, i FTPS afegeix TLS a FTP, així que la identitat del servei al registre depèn de quin hàgiu desplegat..

5. Verifiqueu abans d’atribuir

Una adreça de sortida pot servir molts clients, i un compte es pot fer servir des de diverses fonts permeses, així que una adreça i un nom d’usuari no identifiquen la mateixa unitat. El registre és una política del servidor: una VPN canvia la font que presenta una connexió, però no esborra el nom del compte, el nom del fitxer ni l’operació que va processar el servei receptor. Atribuïu només el que mostra el registre i marqueu la resta com a desconeguda. La descripció FTP del WinSCP és una referència compacta del model de dues connexions si l’heu d’explicar a algú..

Dos casos corrents mostren per què això importa. Una oficina pot enviar tots els usuaris per una sola adreça de sortida, així que cent persones produeixen un sol valor al registre. El contrari passa igual de sovint: un compte es connecta des d’una línia domèstica i des d’una línia d’oficina la mateixa setmana, i totes dues entrades descriuen la mateixa persona..