Cómo saber qué dirección registra realmente el servidor FTP

Una línea de registro muestra una dirección. El portátil lleva una dirección de túnel, la conexión puede salir por una salida distinta, y la comprobación del navegador que hizo no demuestra nada sobre FTP. Las tres pueden ser diferentes, y la línea de registro solo recoge una de ellas. Decida de qué conexión habla antes de comparar nada..

Estos pasos suponen una investigación autorizada con una ventana de tiempo definida, no un repaso de las transferencias de otra persona..

1. Fije de qué conexión habla

FTP usa dos conexiones. La conexión de control transporta comandos y respuestas, y la conexión de datos transporta el propio archivo. Un evento de inicio de sesión pertenece a la primera, un evento de transferencia a la segunda, así que una sesión en un registro puede contener observaciones de dos rutas de red diferentes. Anote a qué evento pertenece el campo de dirección antes de sacar conclusiones de él..

La división tiene una consecuencia práctica. Una línea de inicio de sesión y una línea de transferencia de la misma sesión pueden llevar dos direcciones de origen distintas, así que citar cualquiera de ellas como “la dirección del cliente” es una conjetura sobre qué conexión está leyendo. Compruebe el tipo de evento antes de hacer coincidir una dirección con cualquier cosa..

2. Siga la conexión de control

Ejecute el cliente con la salida de depuración activada, o capture en el cliente mientras se conecta, y anote el par que alcanza realmente. Si hay una VPN activa y el cliente va a través de ella, el servidor ve la dirección de salida de la VPN y no la dirección de red de acceso del portátil.

Si el cliente evita el túnel, el servidor ve la dirección de acceso y la dirección propia de la interfaz VPN nunca aparece en el cable. Por eso la dirección de túnel del portátil suele ser el valor menos útil de la imagen: solo existe dentro del túnel. Use ss o una captura de paquetes para confirmar la fuente que presenta el cliente, en lugar de leerla en una pantalla de configuración..

Dos comandos cubren la mayor parte:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

El primero enumera los extremos local y par que usó su propia pila. El segundo muestra las direcciones escritas en el cable, lo que se acerca más a la visión del servidor pero aún se detiene en su interfaz, así que solo el registro del servidor o su propia captura muestra lo que el servidor registró..

3. Compruebe si la conexión de datos coincide

En modo pasivo el servidor indica al cliente dónde conectarse, y en modo activo el servidor se conecta de vuelta a una dirección que el cliente proporcionó. Ambos modos pueden enviar la conexión de datos a un lugar distinto de la conexión de control cuando hay traducción o un proxy en el camino. Confirme el modo a partir del registro del cliente y luego compruebe si la conexión de datos usó la misma ruta..

Una transferencia registrada desde una dirección distinta de la del inicio de sesión es una observación real y no un registro corrupto, y normalmente dice algo sobre la ruta..

4. Pida al operador un registro estrecho

Dé al operador del servidor la hora de la sesión con su zona horaria, la cuenta, la operación y el destino. Pregunte qué conexión produjo el campo de dirección y si un intermediario de confianza cambia su significado..

Lea el esquema real de ese servidor en lugar de suponer que cada producto registra al cliente original, al par de control y al par de datos por separado, porque algunos resumen toda una sesión en una sola línea. Mantenga también claro el protocolo: SFTP es un protocolo basado en SSH y no FTP en otro puerto, y FTPS añade TLS a FTP, así que la identidad del servicio en el registro depende de cuál haya desplegado..

5. Verifique antes de atribuir

Una dirección de salida puede servir a muchos clientes, y una cuenta puede usarse desde varias fuentes permitidas, así que una dirección y un nombre de usuario no identifican la misma unidad. El registro es una política del servidor: una VPN cambia la fuente que presenta una conexión, pero no borra el nombre de la cuenta, el nombre del archivo ni la operación que procesó el servicio receptor. Atribuya solo lo que muestra el registro y marque el resto como desconocido. La descripción FTP de WinSCP es una referencia compacta del modelo de dos conexiones si necesita explicárselo a alguien..

Dos casos corrientes muestran por qué eso importa. Una oficina puede enviar a todos los usuarios por una sola dirección de salida, así que cien personas producen un solo valor en el registro. Lo contrario ocurre con la misma frecuencia: una cuenta se conecta desde una línea doméstica y desde una línea de oficina en la misma semana, y ambas entradas describen a la misma persona..