Kako utvrditi koju adresu FTP server zapravo bilježi u dnevnik

Jedan red u dnevniku prikazuje jednu adresu. Laptop nosi adresu tunela, veza može izaći kroz drugi izlaz, a provjera u pregledniku koju ste proveli ne dokazuje ništa o FTP-u. Sva tri mogu biti različita, a red u dnevniku bilježi samo jedan od njih. Odredite o kojoj vezi pitate prije nego što bilo šta uporedite..

Ovi koraci pretpostavljaju ovlaštenu istragu s definisanim vremenskim okvirom, a ne razgledanje nečijih prijenosa..

1. Odredite o kojoj vezi pitate

FTP koristi dvije veze. Kontrolna veza nosi naredbe i odgovore, a podatkovna veza nosi samu datoteku. Događaj prijave pripada prvoj, događaj prijenosa drugoj, pa jedna sesija u dnevniku može sadržavati zapažanja s dva različita mrežna puta. Zapišite kojem događaju pripada polje adrese prije nego što iz njega izvučete zaključke..

Ta podjela ima praktičnu posljedicu. Red prijave i red prijenosa iz iste sesije mogu nositi dvije različite izvorne adrese, pa citiranje bilo koje od njih kao “adresa klijenta” je nagađanje o tome koju vezu čitate. Provjerite vrstu događaja prije nego što adresu uporedite s bilo čim..

2. Pratite kontrolnu vezu

Pokrenite klijent s uključenim debug izlazom ili snimite promet na klijentu dok se povezuje i zabilježite vršnjak do kojeg zapravo stiže. Ako je VPN aktivan i klijent ide kroz njega, server vidi adresu izlaza VPN-a, a ne adresu pristupne mreže laptopa.

Ako klijent zaobiđe tunel, server vidi pristupnu adresu i vlastita adresa VPN sučelja nikad se ne pojavljuje na mreži. Zato je adresa tunela laptopa obično najmanje korisna vrijednost na slici: postoji samo unutar tunela. Upotrijebite ss ili snimanje paketa da potvrdite izvor koji klijent predstavlja, umjesto da ga čitate sa zaslona konfiguracije..

Dvije naredbe pokrivaju većinu toga:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Prva navodi lokalne i vršnjačke krajnje točke koje je upotrijebio vaš vlastiti stack. Druga prikazuje adrese zapisane na mreži, što je bliže serverovom pogledu ali se ipak zaustavlja na vašem sučelju, pa samo serverov dnevnik ili njegovo vlastito snimanje prikazuje što je server zabilježio..

3. Provjerite odgovara li podatkovna veza

U pasivnom načinu server govori klijentu gdje da se poveže, a u aktivnom načinu server se povezuje natrag na adresu koju je klijent dostavio. Oba načina mogu poslati podatkovnu vezu na drugo mjesto od kontrolne veze kada se u putu nalazi prevođenje ili proxy. Potvrdite način iz klijentskog dnevnika, zatim provjerite je li podatkovna veza rabila isti put..

Prijenos zabilježen s adrese različite od prijave stvarno je zapažanje, a ne oštećen zapis, i obično govori nešto o putu..

4. Zatražite od operatera uzak zapis

Dajte operateru servera vrijeme sesije s vremenskom zonom, račun, radnju i odredište. Pitajte koja je veza proizvela polje adrese i mijenja li pouzdani posrednik njegovo značenje..

Pročitajte stvarnu shemu tog servera umjesto da pretpostavljate da svaki proizvod bilježi izvornog klijenta, kontrolni vršnjak i podatkovni vršnjak zasebno, jer neki sažimaju cijelu sesiju u jedan red. Držite i protokol jasnim: SFTP je protokol zasnovan na SSH-u, a ne FTP na drugom portu, a FTPS dodaje TLS na FTP, pa identitet usluge u dnevniku zavisi od toga koji ste implementirali..

5. Provjerite prije nego što pripišete

Jedna izlazna adresa može posluživati mnoge korisnike, a jedan račun može se koristiti s nekoliko dozvoljenih izvora, pa adresa i korisničko ime ne identificiraju istu jedinicu. Zapisivanje u dnevnik je politika servera: VPN mijenja izvor koji veza predstavlja, ali ne briše ime računa, ime datoteke ili radnju koju je obradila usluga primateljica. Pripišite samo ono što zapis pokazuje i označite ostatak kao nepoznato. WinSCP-ov opis FTP-a je sažeta referenca za model s dvije veze ako je trebate nekome objasniti..

Dva uobičajena slučaja pokazuju zašto je to važno. Ured može poslati svakog korisnika kroz jednu izlaznu adresu, pa stotinu ljudi proizvodi jednu vrijednost u dnevniku. Obrnuto se događa jednako često: jedan račun se u istom tjednu povezuje s kućne i s uredske linije, a oba unosa opisuju istu osobu..