Como saber que enderezo rexistra realmente o servidor FTP

Unha liña de rexistro mostra un enderezo. O portátil leva un enderezo de túnel, a conexión pode saír por unha saída distinta, e a comprobación do navegador que fixo non demostra nada sobre FTP. As tres poden ser diferentes, e a liña de rexistro só recolle unha delas. Decida de que conexión fala antes de comparar nada..

Estes pasos supoñen unha investigación autorizada cunha xanela de tempo definida, non un repaso das transferencias doutra persoa..

1. Fixe de que conexión fala

FTP usa dúas conexións. A conexión de control transporta comandos e respostas, e a conexión de datos transporta o propio ficheiro. Un evento de inicio de sesión pertence á primeira, un evento de transferencia á segunda, así que unha sesión nun rexistro pode conter observacións de dúas rutas de rede diferentes. Anote a que evento pertence o campo de enderezo antes de sacar conclusións del..

A división ten unha consecuencia práctica. Unha liña de inicio de sesión e unha liña de transferencia da mesma sesión poden levar dous enderezos de orixe distintos, así que citar calquera deles como “o enderezo do cliente” é unha conxectura sobre que conexión está a ler. Comprobe o tipo de evento antes de facer coincidir un enderezo con calquera cousa..

2. Siga a conexión de control

Execute o cliente coa saída de depuración activada, ou capture no cliente mentres se conecta, e anote o par que alcanza realmente. Se hai unha VPN activa e o cliente vai a través dela, o servidor ve o enderezo de saída da VPN e non o enderezo de rede de acceso do portátil.

Se o cliente evita o túnel, o servidor ve o enderezo de acceso e o enderezo propio da interface VPN nunca aparece no cable. Por iso o enderezo de túnel do portátil adoita ser o valor menos útil da imaxe: só existe dentro do túnel. Use ss ou unha captura de paquetes para confirmar a fonte que presenta o cliente, en lugar de lela nunha pantalla de configuración..

Dous comandos cobren a maior parte:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

O primeiro enumera os extremos local e par que usou a súa propia pila. O segundo mostra os enderezos escritos no cable, o que está máis preto da visión do servidor pero aínda se detén na súa interface, así que só o rexistro do servidor ou a súa propia captura mostra o que o servidor rexistrou..

3. Comprobe se a conexión de datos coincide

En modo pasivo o servidor indica ao cliente onde conectarse, e en modo activo o servidor conéctase de volta a un enderezo que o cliente forneceu. Ambos os modos poden enviar a conexión de datos a un lugar distinto da conexión de control cando hai tradución ou un proxy no camiño. Confirme o modo a partir do rexistro do cliente e despois comprobe se a conexión de datos usou a mesma ruta..

Unha transferencia rexistrada desde un enderezo distinto do inicio de sesión é unha observación real e non un rexistro corrupto, e normalmente di algo sobre a ruta..

4. Pida ao operador un rexistro estreito

Dea ao operador do servidor a hora da sesión coa súa zona horaria, a conta, a operación e o destino. Pregunte que conexión produciu o campo de enderezo e se un intermediario de confianza lle cambia o significado..

Lea o esquema real dese servidor en lugar de supoñer que cada produto rexistra o cliente orixinal, o par de control e o par de datos por separado, porque algúns resumen toda unha sesión nunha soa liña. Manteña tamén claro o protocolo: SFTP é un protocolo baseado en SSH e non FTP noutro porto, e FTPS engade TLS a FTP, así que a identidade do servizo no rexistro depende de cal despregou..

5. Verifique antes de atribuír

Un enderezo de saída pode servir a moitos clientes, e unha conta pode usarse desde varias fontes permitidas, así que un enderezo e un nome de usuario non identifican a mesma unidade. O rexistro é unha política do servidor: unha VPN cambia a fonte que presenta unha conexión, pero non borra o nome da conta, o nome do ficheiro nin a operación que procesou o servizo receptor. Atribúa só o que mostra o rexistro e marque o resto como descoñecido. La descrición FTP de WinSCP é unha referencia compacta do modelo de dúas conexións se necesita explicalo a alguén..

Dous casos correntes mostran por que iso importa. Unha oficina pode enviar a todos os usuarios por unha soa saída, así que cen persoas producen un único valor no rexistro. O contrario ocorre coa mesma frecuencia: unha conta conéctase desde unha liña doméstica e desde unha liña de oficina na mesma semana, e ambas as entradas describen a mesma persoa..