Jak zjistit, kterou adresu FTP server skutečně zaznamenává

Jeden řádek logu ukazuje jednu adresu. Notebook nese adresu tunelu, spojení může vycházet jiným výstupem a kontrola prohlížeče, kterou jste provedli, o FTP nic nedokazuje. Tyto tři údaje se mohou lišit a řádek logu vždy zaznamenává jen jeden z nich. Než cokoli srovnáte, určete, o kterém spojení mluvíte..

Tyto kroky předpokládají povolené vyšetřování s vymezeným časovým oknem, nikoli procházení cizích přenosů..

1. Určete, o kterém spojení mluvíte

FTP používá dvě spojení. Řídicí spojení přenáší příkazy a odpovědi, datové spojení přenáší samotný soubor. Událost přihlášení patří prvnímu, událost přenosu druhému, takže jedna relace v logu může obsahovat pozorování ze dvou různých síťových cest. Zapište, ke které události pole adresy patří, než z něj vyvodíte závěry..

Toto rozdělení má praktický důsledek. Řádek přihlášení a řádek přenosu ze stejné relace mohou nést dvě různé zdrojové adresy, takže citovat kteroukoli z nich jako „adresu klienta“ je odhad, kterou spojení čtete. Ověřte typ události, než adresu s čímkoli srovnáte..

2. Sledujte řídicí spojení

Spusťte klient s povoleným ladicím výstupem, nebo zachyťte provoz na klientu během připojování, a poznamenejte si protějšek, ke kterému skutečně dorazí. Pokud je VPN aktivní a klient přes ni prochází, server vidí adresu výstupu VPN, nikoli adresu přístupové sítě notebooku.

Pokud klient tunel obchází, server vidí přístupovou adresu a vlastní adresa rozhraní VPN se nikdy na drátě neobjeví. Právě proto je adresa tunelu notebooku obvykle nejméně užitečná hodnota v obrázku: existuje jen uvnitř tunelu. K potvrzení zdroje, který klient předkládá, použijte ss nebo zachytávání paketů, místo abyste jej odečítali z konfigurační obrazovky..

Většinu pokryje dvojice příkazů:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

První vypíše místní a protější koncové body, které použil váš vlastní stack. Druhý ukazuje adresy zapsané na drátě, což je blíž pohledu serveru, ale stále se zastaví na vašem rozhraní, takže jen protokol serveru nebo jeho vlastní zachycení ukáže, co server zaznamenal..

3. Ověřte, zda datové spojení odpovídá

V pasivním režimu server klientovi říká, kam se má připojit, a v aktivním režimu se server připojuje zpět na adresu, kterou klient dodal. Oba režimy mohou poslat datové spojení jinam než řídicí spojení, když je v cestě překlad nebo proxy. Potvrďte režim z logu klienta a potom ověřte, zda datové spojení použilo stejnou cestu..

Přenos zaznamenaný z jiné adresy než přihlášení je skutečné pozorování, nikoli poškozený záznam, a obvykle o cestě něco vypovídá..

4. Požádejte operátora o úzký záznam

Dejte operátorovi serveru čas relace s jeho časovým pásmem, účet, operaci a cíl. Zeptejte se, které spojení vytvořilo pole adresy a zda důvěryhodný prostředník mění jeho význam..

Přečtěte si skutečné schéma toho serveru, místo abyste předpokládali, že každý produkt zaznamenává původního klienta, řídicí protějšek a datový protějšek zvlášť, protože některé shrnou celou relaci do jednoho řádku. Držte také protokol jasný: SFTP je protokol založený na SSH, nikoli FTP na jiném portu, a FTPS přidává TLS k FTP, takže identita služby v logu závisí na tom, kterou jste nasadili..

5. Ověřte, než přisoudíte

Jedna výstupní adresa může obsloužit mnoho zákazníků a jeden účet lze použít z několika povolených zdrojů, takže adresa a uživatelské jméno neidentifikují stejnou jednotku. Logování je politika serveru: VPN mění zdroj, který spojení předkládá, ale nesmaže název účtu, název souboru ani operaci, kterou přijímající služba zpracovala. Přisuzujte jen to, co záznam ukazuje, a zbytek označte jako neznámý. Popis FTP v WinSCP je stručným odkazem na model dvou spojení, pokud jej potřebujete někomu vysvětlit..

Dva běžné případy ukazují, proč to záleží. Kancelář může posílat každého uživatele přes jednu výstupní adresu, takže stovka lidí vytvoří v logu jednu hodnotu. Opak nastává stejně často: jeden účet se ve stejném týdnu připojí z domácí i z kancelářské linky a oba záznamy popisují stejnou osobu..