Sådan finder du ud af, hvilken adresse FTP-serveren faktisk logger

En loglinje viser én adresse. Laptoppen bærer en tunneladresse, forbindelsen kan gå ud gennem en anden udgang, og den browsertest, du kørte, beviser intet om FTP. Alle tre kan være forskellige, og loglinjen registrerer kun én af dem. Beslut, hvilken forbindelse du spørger om, før du sammenligner noget..

Disse trin forudsætter en autoriseret undersøgelse med et afgrænset tidsvindue, ikke en gennemgang af en andens overførsler..

1. Fastlæg, hvilken forbindelse du spørger om

FTP bruger to forbindelser. Kontrolforbindelsen bærer kommandoer og svar, og dataforbindelsen bærer selve filen. En loginhændelse hører til den første, en overførselshændelse til den anden, så én session i en log kan indeholde observationer fra to forskellige netværksveje. Skriv ned, hvilken hændelse adressefeltet hører til, før du drager konklusioner ud fra det..

Opdelingen har en praktisk konsekvens. En loginlinje og en overførselslinje fra samme session kan bære to forskellige kildeadresser, så at citere en af dem som “klientens adresse” er et gæt på, hvilken forbindelse du læser. Kontroller hændelsestypen, før du matcher en adresse med noget..

2. Følg kontrolforbindelsen

Kør klienten med fejlretningsoutput aktiveret, eller optag trafik på klienten, mens den forbinder, og notér den peer, den faktisk når. Hvis en VPN er aktiv, og klienten dirigeres gennem den, ser serveren VPN’ens udgangsadresse i stedet for laptopens adgangsnetværksadresse.

Hvis klienten omgår tunnelen, ser serveren adgangsadressen, og VPN-grænsefladens egen adresse vises aldrig på nettet. Derfor er laptopens tunneladresse normalt den mindst nyttige værdi i billedet: den findes kun inde i tunnelen. Brug ss eller en pakkeoptagelse til at bekræfte den kilde, klienten præsenterer, i stedet for at læse den af på en konfigurationsskærm..

To kommandoer dækker det meste:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Den første viser de lokale og peer-endepunkter, som din egen stak brugte. Den anden viser de adresser, der står på nettet, hvilket er tættere på serverens synspunkt, men stadig stopper ved din grænseflade, så kun serverens log eller dens egen optagelse viser, hvad serveren registrerede..

3. Kontroller, om dataforbindelsen matcher

I passiv tilstand fortæller serveren klienten, hvor den skal forbinde, og i aktiv tilstand forbinder serveren tilbage til en adresse, som klienten har angivet. Begge tilstande kan sende dataforbindelsen et andet sted hen end kontrolforbindelsen, når oversættelse eller en proxy sidder i vejen. Bekræft tilstanden ud fra klientloggen, og kontroller derefter, om dataforbindelsen brugte samme vej..

En overførsel, der er logget fra en anden adresse end loginet, er en reel observation og ikke en beskadiget post, og den siger normalt noget om vejen..

4. Bed operatøren om en snæver post

Giv serveroperatøren sessionstidspunktet med tidszone, kontoen, handlingen og destinationen. Spørg, hvilken forbindelse der skabte adressefeltet, og om en betroet mellemmand ændrer dets betydning..

Læs den pågældende servers faktiske skema i stedet for at antage, at hvert produkt registrerer den oprindelige klient, kontrol-peeren og data-peeren separat, fordi nogle opsummerer en hel session under én linje. Hold også protokollen klar: SFTP er en SSH-baseret protokol og ikke FTP på en anden port, og FTPS føjer TLS til FTP, så tjenestens identitet i loggen afhænger af, hvilken du har implementeret..

5. Bekræft, før du tilskriver

En udgangsadresse kan betjene mange kunder, og én konto kan bruges fra flere tilladte kilder, så en adresse og et brugernavn identificerer ikke samme enhed. Logning er en serverpolitik: en VPN ændrer den kilde, en forbindelse præsenterer, men den sletter ikke kontonavnet, filnavnet eller den handling, som den modtagende tjeneste behandlede. Tilskriv kun det, posten viser, og markér resten som ukendt. WinSCP’s FTP-beskrivelse er en kortfattet reference til to-forbindelsesmodellen, hvis du skal forklare den til en anden..

To almindelige tilfælde viser, hvorfor det betyder noget. En virksomhed kan sende alle brugere ud gennem én udgangsadresse, så hundrede mennesker giver én værdi i loggen. Det modsatte sker lige så ofte: én konto forbinder fra en hjemmelinje og fra en kontorlinje i samme uge, og begge poster beskriver samme person..