Hogyan deríthetjük ki, melyik címet naplózza valójában az FTP-kiszolgáló

Egy naplósor egy címet mutat. A laptop alagútcímet hordoz, a kapcsolat egy másik kimeneten is kiléphet, és az általad futtatott böngészőellenőrzés semmit sem bizonyít az FTP-ről. Mindhárom eltérhet, és a naplósor mindig csak az egyiket rögzíti. Döntsd el, melyik kapcsolatról kérdezel, mielőtt bármit összehasonlítasz..

Ezek a lépések meghatározott időablakú, engedélyezett vizsgálatot feltételeznek, nem valaki más átvitelének böngészését..

1. Döntsd el, melyik kapcsolatról kérdezel

Az FTP két kapcsolatot használ. A vezérlőkapcsolat viszi a parancsokat és válaszokat, az adatkapcsolat magát a fájlt. A bejelentkezési esemény az elsőhöz tartozik, az átviteli esemény a másodikhoz, így egy naplóbeli munkamenet két különböző hálózati útvonal megfigyeléseit is tartalmazhatja. Írd fel, melyik eseményhez tartozik a címmező, mielőtt következtetéseket vonsz le belőle..

A felosztásnak gyakorlati következménye van. Ugyanazon munkamenet bejelentkezési sora és átviteli sora két különböző forrás-címet hordozhat, ezért bármelyiket „az ügyfél címeként” idézni találgatás arról, melyik kapcsolatot olvasod. Ellenőrizd az esemény típusát, mielőtt egy címet bármihez illesztenél..

2. Kövesd a vezérlőkapcsolatot

Indítsd el az ügyfelet hibakeresési kimenettel, vagy rögzíts az ügyfélen, miközben kapcsolódik, és jegyezd fel a partnert, amelyet valóban elér. Ha VPN van bekapcsolva, és az ügyfél azon keresztül halad, a kiszolgáló a VPN kimeneti címét látja, nem a laptop hozzáférési hálózatának címét.

Ha az ügyfél megkerüli az alagutat, a kiszolgáló a hozzáférési címet látja, a VPN-interfész saját címe pedig soha nem jelenik meg a hálózaton. Ezért a laptop alagútcíme általában a kép legkevésbé hasznos értéke: csak az alagúton belül létezik. Használd az ss-t vagy csomagrögzítést annak igazolására, milyen forrást mutat be az ügyfél, ahelyett hogy egy konfigurációs képernyőről olvasnád le..

Két parancs lefedi a nagy részét:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Az első a saját veremed által használt helyi és partner végpontokat sorolja fel. A második a hálózaton írt címeket mutatja, ami közelebb van a kiszolgáló nézőpontjához, de még mindig az interfészednél megáll, ezért csak a kiszolgáló naplója vagy saját rögzítése mutatja meg, mit rögzített a kiszolgáló..

3. Ellenőrizd, hogy az adatkapcsolat egyezik-e

Passzív módban a kiszolgáló megmondja az ügyfélnek, hova kapcsolódjon, aktív módban pedig a kiszolgáló visszakapcsolódik egy által az ügyfél megadott címre. Mindkét mód elküldheti az adatkapcsolatot a vezérlőkapcsolattól eltérő helyre, ha fordítás vagy proxy van az útvonalon. Erősítsd meg a módot az ügyfél naplójából, majd ellenőrizd, hogy az adatkapcsolat ugyanazt az útvonalat használta-e..

A bejelentkezéstől eltérő címről naplózott átvitel valódi megfigyelés, nem sérült rekord, és általában mond valamit az útvonalról..

4. Kérj szűk rekordot az üzemeltetőtől

Add át a kiszolgáló üzemeltetőjének a munkamenet idejét időzónájával, a fiókot, a műveletet és a célt. Kérdezd meg, melyik kapcsolat hozta létre a címmezőt, és hogy egy megbízható közvetítő megváltoztatja-e a jelentését..

Olvasd el annak a kiszolgálónak a tényleges sémáját, ahelyett hogy feltételeznéd, minden termék külön rögzíti az eredeti ügyfelet, a vezérlő partnert és az adat partnert, mert egyesek egy sor alatt összegzik az egész munkamenetet. Tartsd tisztán a protokollt is: az SFTP SSH-alapú protokoll, nem FTP más porton, és az FTPS TLS-t ad az FTP-hez, ezért a szolgáltatás azonossága a naplóban attól függ, melyiket telepítetted..

5. Ellenőrizz, mielőtt hozzárendelsz

Egy kimeneti cím sok ügyfelet szolgálhat ki, és egy fiók több engedélyezett forrásból is használható, ezért egy cím és egy felhasználónév nem ugyanazt az egységet azonosítja. A naplózás a kiszolgáló szabályzata: a VPN megváltoztatja a forrást, amelyet a kapcsolat bemutat, de nem törli a fiók nevét, a fájl nevét vagy a műveletet, amelyet a fogadó szolgáltatás feldolgozott. Csak azt rendeld hozzá, amit a rekord mutat, a többit jelöld ismeretlenként. A WinSCP FTP-leírása tömör hivatkozás a kétkapcsolatos modellhez, ha el kell magyaráznod valakinek..

Két hétköznapi eset mutatja, miért számít ez. Egy iroda minden felhasználót egyetlen kimeneti címen keresztül küldhet ki, így száz ember egyetlen értéket hoz létre a naplóban. Az ellenkezője ugyanilyen gyakori: egy fiók ugyanabban a héten otthoni és irodai vonalról is kapcsolódik, és mindkét bejegyzés ugyanazt a személyt írja le..