איך לדעת איזו כתובת שרת ה-FTP באמת רושם ביומן

שורת יומן אחת מציגה כתובת אחת. המחשב הנייד נושא כתובת מנהרה, החיבור עשוי לצאת דרך מוצא אחר, ובדיקת הדפדפן שהרצתם אינה מוכיחה דבר לגבי FTP. שלושתם יכולים להיות שונים, ושורת היומן רושמת תמיד רק אחד מהם. החליטו על איזה חיבור אתם שואלים לפני שתשוו משהו..

השלבים האלה מניחים חקירה מורשית עם חלון זמן מוגדר, ולא עיון בהעברות של מישהו אחר..

1. החליטו על איזה חיבור אתם שואלים

FTP משתמש בשני חיבורים. חיבור הבקרה נושא פקודות ותשובות, וחיבור הנתונים נושא את הקובץ עצמו. אירוע התחברות שייך לראשון, אירוע העברה שייך לשני, ולכן הפעלה אחת ביומן עשויה להחזיק תצפיות משני נתיבי רשת שונים. רשמו לאיזה אירוע שייך שדה הכתובת לפני שתסיקו ממנו מסקנות..

לפיצול יש תוצאה מעשית. שורת התחברות ושורת העברה מאותה הפעלה יכולות לשאת שתי כתובות מקור שונות, ולכן ציטוט של אחת מהן כ“כתובת הלקוח” הוא ניחוש לגבי החיבור שאתם קוראים. בדקו את סוג האירוע לפני שתהתאימו כתובת למשהו..

2. עקבו אחרי חיבור הבקרה

הריצו את הלקוח עם פלט ניפוי שגיאות מופעל, או תפסו אותו בזמן שהוא מתחבר, ורשמו את העמית שהוא באמת מגיע אליו. אם VPN פעיל והלקוח מנותב דרכו, השרת רואה את כתובת היציאה של ה-VPN ולא את כתובת רשת הגישה של המחשב הנייד.

אם הלקוח עוקף את המנהרה, השרת רואה את כתובת הגישה וכתובת הממשק של ה-VPN עצמה לא מופיעה ברשת לעולם. לכן כתובת המנהרה של המחשב הנייד היא בדרך כלל הערך הכי פחות שימושי בתמונה: היא קיימת רק בתוך המנהרה. השתמשו ב-ss או בקליטת מנות כדי לאשר את המקור שהלקוח מציג, במקום לקרוא אותו ממסך תצורה..

שתי פקודות מכסות את רוב זה:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

הראשונה מפרטת את נקודות הקצה המקומיות והעמיתות שהמחסנית שלכם השתמשה בהן. השנייה מציגה את הכתובות הכתובות ברשת, שקרוב יותר לנקודת המבט של השרת אך עדיין עוצר בממשק שלכם, ולכן רק היומן של השרת או הקליטה שלו עצמו מראה מה השרת רשם..

3. בדקו אם חיבור הנתונים תואם

במצב פסיבי השרת אומר ללקוח לאן להתחבר, ובמצב אקטיבי השרת מתחבר חזרה לכתובת שהלקוח סיפק. שני המצבים יכולים לשלוח את חיבור הנתונים למקום אחר מחיבור הבקרה כשקיים תרגום או פרוקסי בנתיב. אשרו את המצב מיומן הלקוח, ואז בדקו אם חיבור הנתונים השתמש באותו נתיב..

העברה שנרשמה מכתובת שונה מזו של ההתחברות היא תצפית אמיתית ולא רשומה פגומה, והיא בדרך כלל אומרת משהו על הנתיב..

4. בקשו מהמפעיל רשומה צרה

תנו למפעיל השרת את זמן ההפעלה עם אזור הזמן שלו, את החשבון, את הפעולה ואת היעד. שאלו איזה חיבור הפיק את שדה הכתובת, והאם מתווך מהימן משנה את משמעותו..

קראו את הסכימה בפועל של אותו שרת במקום להניח שכל מוצר רושם את הלקוח המקורי, את עמית הבקרה ואת עמית הנתונים בנפרד, כי חלקם מסכמים הפעלה שלמה בשורה אחת. שמרו גם על בהירות הפרוטוקול: SFTP הוא פרוטוקול מבוסס SSH ולא FTP בפורט אחר, ו-FTPS מוסיף TLS ל-FTP, ולכן זהות השירות ביומן תלויה בזה שהטמעתם..

5. אמתו לפני שאתם מייחסים

כתובת יציאה אחת יכולה לשרת לקוחות רבים, וחשבון אחד יכול לשמש ממספר מקורות מורשים, ולכן כתובת ושם משתמש אינם מזהים את אותה יחידה. תיעוד הוא מדיניות של השרת: VPN משנה את המקור שהחיבור מציג, אך הוא אינו מוחק את שם החשבון, את שם הקובץ או את הפעולה שהשירות המקבל עיבד. ייחסו רק את מה שהרשומה מראה וסמנו את השאר כלא ידוע. תיאור FTP של WinSCP הוא הפניה תמציתית למודל שני החיבורים אם אתם צריכים להסביר אותו למישהו אחר..

שני מקרים שגרתיים מראים למה זה חשוב. משרד יכול לשלוח כל משתמש דרך כתובת יציאה אחת, ולכן מאה אנשים מייצרים ערך אחד ביומן. ההפך קורה באותה תדירות: חשבון אחד מתחבר מקו ביתי ומקו משרד באותו שבוע, ושתי הרשומות מתארות את אותו אדם..