Sut i wybod pa gyfeiriad y mae’r gweinydd FTP yn ei gofnodi mewn gwirionedd

Mae un llinell log yn dangos un cyfeiriad. Mae’r gliniadur yn cario cyfeiriad twnnel, gall y cysylltiad adael trwy allanfa wahanol, ac nid yw’r archwiliad porwr a wnaethoch yn profi dim am FTP. Gall y tri hyn i gyd fod yn wahanol, a dim ond un ohonynt y mae’r llinell log yn ei gofnodi. Penderfynwch pa gysylltiad rydych yn gofyn amdano cyn cymharu unrhyw beth..

Mae’r camau hyn yn tybio ymchwiliad awdurdodedig â ffenestr amser ddiffiniedig, nid pori trwy drosglwyddiadau rhywun arall..

1. Penderfynwch pa gysylltiad rydych yn gofyn amdano

Mae FTP yn defnyddio dau gysylltiad. Mae’r cysylltiad rheoli yn cario gorchmynion ac atebion, ac mae’r cysylltiad data yn cario’r ffeil ei hun. Mae digwyddiad mewngofnodi yn perthyn i’r cyntaf, digwyddiad trosglwyddo i’r ail, felly gall un sesiwn mewn log ddal arsylwadau o ddwy lwybr rhwydwaith wahanol. Nodwch pa ddigwyddiad y mae’r maes cyfeiriad yn perthyn iddo cyn tynnu casgliadau oddi wrtho..

Mae’r rhaniad yn cael canlyniad ymarferol. Gall llinell mewngofnodi a llinell drosglwyddo o’r un sesiwn gario dau gyfeiriad ffynhonnell wahanol, felly dyfynnu’r naill neu’r llall fel “cyfeiriad y cleient” yw dyfalu pa gysylltiad rydych yn ei ddarllen. Gwiriwch y math o ddigwyddiad cyn paru cyfeiriad ag unrhyw beth..

2. Dilynwch y cysylltiad rheoli

Rhedwch y cleient gyda’r allbwn dadfygu wedi’i alluogi, neu gipiwch ar y cleient wrth iddo gysylltu, a nodwch y cymar y mae’n ei gyrraedd mewn gwirionedd. Os yw VPN yn weithredol ac mae’r cleient yn mynd trwyddo, mae’r gweinydd yn gweld cyfeiriad allanfa’r VPN yn hytrach na chyfeiriad rhwydwaith mynediad y gliniadur.

Os yw’r cleient yn osgoi’r twnnel, mae’r gweinydd yn gweld y cyfeiriad mynediad ac nid yw cyfeiriad ei hun y rhyngwyneb VPN byth yn ymddangos ar y wifren. Dyna pam yw cyfeiriad twnnel y gliniadur fel arfer y gwerth lleiaf defnyddiol yn y llun: mae’n bodoli yn unig y tu mewn i’r twnnel. Defnyddiwch ss neu gipio pecynnau i gadarnhau’r ffynhonnell y mae’r cleient yn ei chyflwyno, yn hytrach na’i darllen oddi ar sgrin ffurfweddiad..

Mae dwy orchymyn yn cwmpasu’r rhan fwyaf:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Mae’r cyntaf yn rhestru’r penau lleol a chymar a ddefnyddiodd eich stac eich hun. Mae’r ail yn dangos y cyfeiriadau a ysgrifennwyd ar y wifren, sy’n agosach at olwg y gweinydd ond yn dal i stopio wrth eich rhyngwyneb, felly dim ond log y gweinydd neu ei gipio ei hun sy’n dangos yr hyn a gofnododd y gweinydd..

3. Gwiriwch a yw’r cysylltiad data yn cyfateb

Mewn modd goddefol mae’r gweinydd yn dweud wrth y cleient ble i gysylltu, ac mewn modd gweithredol mae’r gweinydd yn cysylltu’n ôl i gyfeiriad a ddarparwyd gan y cleient. Gall y ddau fodd anfon y cysylltiad data i rywle gwahanol i’r cysylltiad rheoli pan fo cyfieithiad neu brocsi yn y llwybr. Cadarnhewch y modd o log y cleient, yna gwiriwch a ddefnyddiodd y cysylltiad data yr un llwybr..

Mae trosglwyddiad a gofnodwyd o gyfeiriad gwahanol i’r mewngofnodi yn arsylwad go iawn yn hytrach na chofnod llygredig, ac fel arfer mae’n dweud rhywbeth am y llwybr..

4. Gofynnwch i’r gweithredwr am gofnod cul

Rhowch i weithredwr y gweinydd amser y sesiwn gyda’i pharth amser, y cyfrif, y gweithrediad a’r cyrchfan. Gofynnwch pa gysylltiad a gynhyrchodd y maes cyfeiriad, ac a yw cyfryngwr dibynadwy yn newid ei ystyr..

Darllenwch gynllun gwirioneddol y gweinydd hwnnw yn hytrach na thybio bod pob cynnyrch yn cofnodi’r cleient gwreiddiol, y cymar rheoli a’r cymar data ar wahân, oherwydd mae rhai yn crynhoi sesiwn gyfan o dan un llinell. Cadwch y protocol yn glir hefyd: protocol sy’n seiliedig ar SSH yw SFTP, nid FTP ar borth arall, ac mae FTPS yn ychwanegu TLS at FTP, felly mae hunaniaeth y gwasanaeth yn y log yn dibynnu ar ba un a defnyddioch..

5. Gwiriwch cyn priodoli

Gall un cyfeiriad allanfa wasanaethu llawer o gwsmeriaid, a gellir defnyddio un cyfrif o sawl ffynhonnell a ganiateir, felly nid yw cyfeiriad ac enw defnyddiwr yn nodi’r un uned. Mae logio yn bolisi gweinydd: mae VPN yn newid y ffynhonnell y mae cysylltiad yn ei chyflwyno, ond nid yw’n dileu enw’r cyfrif, enw’r ffeil na’r gweithrediad a brosesodd y gwasanaeth derbyn. Priodolwch yn unig yr hyn y mae’r cofnod yn ei ddangos a nodwch y gweddill fel anhysbys. Disgrifiad FTP WinSCP yw cyfeiriad byr at y model dau gysylltiad os ydych angen ei esbonio i rywun arall..

Mae dau achos cyffredin yn dangos pam y mae hyn yn bwysig. Gall swyddfa anfon pob defnyddiwr allan trwy un cyfeiriad allanfa, felly mae cant o bobl yn cynhyrchu un gwerth yn y log. Mae’r gwrthwyneb yn digwydd yr un mor aml: mae cyfrif yn cysylltu o linell cartref ac o linell swyddfa yn yr un wythnos, ac mae’r ddau gofnod yn disgrifio’r un person..