Miten selvität, mitä osoitetta FTP-palvelin oikeastaan lokittaa

Yksi lokirivi näyttää yhden osoitteen. Kannettava tietokone kantaa tunneliosoitetta, yhteys voi lähteä eri uloskäynnin kautta, eikä tekemäsi selainten tarkistus todista FTP:stä mitään. Kaikki kolme voivat erota, ja lokirivi tallentaa niistä aina vain yhden. Päätä, mistä yhteydestä kysyt, ennen kuin vertailet mitään..

Nämä vaiheet edellyttävät valtuutettua tutkintaa määritellyllä aikaikkunalla, eivät toisten siirtojen selaamista..

1. Päätä, mistä yhteydestä kysyt

FTP käyttää kahta yhteyttä. Ohjausyhteys kuljettaa komennot ja vastaukset, ja datayhteys kuljettaa itse tiedoston. Kirjautumistapahtuma kuuluu ensimmäiseen, siirtotapahtuma toiseen, joten yksi istunto lokissa voi sisältää havaintoja kahdelta eri verkkopolulta. Kirjoita muistiin, mihin tapahtumaan osoitekenttä kuuluu, ennen kuin teet siitä johtopäätöksiä..

Jaolla on käytännön seuraus. Saman istunnon kirjautumisrivi ja siirtorivi voivat kantaa kahta eri lähdeosoitetta, joten kumman tahansa siteeraaminen “asiakkaan osoitteena” on arvaus siitä, kumpaa yhteyttä luet. Tarkista tapahtumatyyppi, ennen kuin sovitat osoitetta mihinkään..

2. Seuraa ohjausyhteyttä

Käynnistä asiakas debug-tuloste käytössä tai kaappaa asiakkaalta sen yhdistäessä ja merkitse muistiin vastapuoli, johon se todella pääsee. Jos VPN on käytössä ja asiakas reititetään sen kautta, palvelin näkee VPN:n lähtöosoitteen eikä kannettavan liityntäverkon osoitetta.

Jos asiakas ohittaa tunnelin, palvelin näkee liityntäosoitteen, eikä VPN-rajapinnan oma osoite koskaan ilmesty verkkoon. Siksi kannettavan tunneliosoite on tavallisesti kuvan vähiten hyödyllinen arvo: se on olemassa vain tunnelin sisällä. Käytä ss:iä tai paketin kaappausta vahvistaaksesi lähteen, jonka asiakas esittää, sen sijaan että lukisit sen asetusnäytöltä..

Kaksi komentoa kattaa suurimman osan:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Ensimmäinen luettelee paikalliset ja vastapuolen päätepisteet, joita oma pino käytti. Toinen näyttää verkkoon kirjoitetut osoitteet, mikä on lähempänä palvelimen näkemystä mutta pysähtyy silti rajapintaasi, joten vain palvelimen loki tai sen oma kaappaus näyttää, mitä palvelin tallensi..

3. Tarkista, vastaako datayhteys

Passiivisessa tilassa palvelin kertoo asiakkaalle, mihin yhdistää, ja aktiivisessa tilassa palvelin yhdistää takaisin asiakkaan antamaan osoitteeseen. Kumpikin tila voi lähettää datayhteyden muualle kuin ohjausyhteyden, kun polulla on käännös tai välityspalvelin. Vahvista tila asiakkaan lokista ja tarkista sitten, käyttikö datayhteys samaa polkua..

Kirjautumisesta eri osoitteesta lokitettu siirto on todellinen havainto eikä vioittunut tietue, ja se kertoo yleensä jotain polusta..

4. Pyydä operaattorilta kapea tietue

Anna palvelimen operaattorille istunnon aika aikavyöhykkeineen, tili, toiminto ja kohde. Kysy, mikä yhteys tuotti osoitekentän ja muuttaako luotettu välittäjä sen merkitystä..

Lue kyseisen palvelimen todellinen skeema sen sijaan, että olettaisit jokaisen tuotteen tallentavan alkuperäisen asiakkaan, ohjausvastapuolen ja datavastapuolen erikseen, koska jotkut tiivistävät koko istunnon yhdelle riville. Pidä myös protokolla selvänä: SFTP on SSH-pohjainen protokolla eikä FTP toisella portilla, ja FTPS lisää FTP:hen TLS:n, joten palvelun identiteetti lokissa riippuu siitä, kumman otit käyttöön..

5. Vahvista ennen kuin liität

Yksi lähtöosoite voi palvella monia asiakkaita, ja yhtä tiliä voidaan käyttää useista sallituista lähteistä, joten osoite ja käyttäjänimi eivät tunnista samaa yksikköä. Lokitus on palvelimen käytäntö: VPN muuttaa lähteen, jonka yhteys esittää, mutta se ei pyyhi tilin nimeä, tiedoston nimeä tai toimintoa, jonka vastaanottava palvelu käsitteli. Liitä vain se, mitä tietue näyttää, ja merkitse muu tuntemattomaksi. WinSCP:n FTP-kuvaus on tiivis viite kahden yhteyden mallista, jos sinun täytyy selittää se jollekulle..

Kaksi tavallista tapausta osoittaa, miksi tällä on väliä. Toimisto voi lähettää jokaisen käyttäjän yhden lähtöosoitteen kautta, joten sata ihmistä tuottaa lokiin yhden arvon. Päinvastainen tapahtuu yhtä usein: yksi tili yhdistää koti- ja toimistolinjalta samalla viikolla, ja molemmat merkinnät kuvaavat samaa henkilöä..