Come sapere quale indirizzo registra davvero il server FTP

Una riga di log mostra un indirizzo. Il portatile porta un indirizzo di tunnel, la connessione può uscire da un’altra uscita, e il controllo del browser che avete eseguito non dimostra nulla su FTP. Tutti e tre possono essere diversi, e la riga di log registra sempre solo uno di essi. Decidete di quale connessione state parlando prima di confrontare qualcosa..

Questi passaggi presuppongono un’indagine autorizzata con una finestra temporale definita, non una scorsa ai trasferimenti di qualcun altro..

1. Stabilite di quale connessione state parlando

FTP usa due connessioni. La connessione di controllo trasporta comandi e risposte, e la connessione dati trasporta il file stesso. Un evento di accesso appartiene alla prima, un evento di trasferimento alla seconda, quindi una sessione in un log può contenere osservazioni da due percorsi di rete diversi. Annotate a quale evento appartiene il campo dell’indirizzo prima di trarne conclusioni..

La separazione ha una conseguenza pratica. Una riga di accesso e una riga di trasferimento della stessa sessione possono portare due indirizzi di origine diversi, quindi citare l’uno o l’altro come «l’indirizzo del client» è una congettura su quale connessione state leggendo. Controllate il tipo di evento prima di abbinare un indirizzo a qualsiasi cosa..

2. Seguite la connessione di controllo

Avviate il client con l’output di debug abilitato, oppure catturate sul client mentre si connette, e annotate il peer che raggiunge davvero. Se è attiva una VPN e il client passa attraverso di essa, il server vede l’indirizzo di uscita della VPN e non l’indirizzo di rete di accesso del portatile.

Se il client aggira il tunnel, il server vede l’indirizzo di accesso e l’indirizzo proprio dell’interfaccia VPN non appare mai sul filo. Per questo l’indirizzo di tunnel del portatile è di solito il valore meno utile dell’immagine: esiste solo dentro il tunnel. Usate ss o una cattura di pacchetti per confermare la fonte che il client presenta, invece di leggerla da una schermata di configurazione..

Due comandi coprono gran parte:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Il primo elenca gli endpoint locale e peer usati dallo stack del sistema. Il secondo mostra gli indirizzi scritti sul filo, che è più vicino alla vista del server ma si ferma comunque alla vostra interfaccia, quindi solo il log del server o la sua cattura mostra ciò che il server ha registrato..

3. Verificate se la connessione dati corrisponde

In modalità passiva il server dice al client dove connettersi, e in modalità attiva il server si riconnette a un indirizzo fornito dal client. Entrambe le modalità possono inviare la connessione dati altrove rispetto alla connessione di controllo quando sul percorso c’è una traduzione o un proxy. Confermate la modalità dal log del client, poi verificate se la connessione dati ha usato lo stesso percorso..

Un trasferimento registrato da un indirizzo diverso da quello dell’accesso è un’osservazione reale e non un record corrotto, e di solito dice qualcosa sul percorso..

4. Chiedete all’operatore un record ristretto

Date all’operatore del server l’ora della sessione con il suo fuso orario, l’account, l’operazione e la destinazione. Chiedete quale connessione ha prodotto il campo dell’indirizzo e se un intermediario fidato ne cambia il significato..

Leggete lo schema reale di quel server invece di presumere che ogni prodotto registri separatamente il client originale, il peer di controllo e il peer dati, perché alcuni riassumono un’intera sessione in una sola riga. Tenete chiaro anche il protocollo: SFTP è un protocollo basato su SSH e non FTP su un’altra porta, e FTPS aggiunge TLS a FTP, quindi l’identità del servizio nel log dipende da quale avete distribuito..

5. Verificate prima di attribuire

Un indirizzo di uscita può servire molti clienti, e un account può essere usato da più fonti consentite, quindi un indirizzo e un nome utente non identificano la stessa unità. La registrazione è una politica del server: una VPN cambia la fonte che una connessione presenta, ma non cancella il nome dell’account, il nome del file o l’operazione elaborata dal servizio ricevente. Attribuite solo ciò che il record mostra e segnate il resto come sconosciuto. La descrizione FTP di WinSCP è un riferimento compatto al modello a due connessioni se dovete spiegarlo a qualcuno..

Due casi comuni mostrano perché questo conta. Un ufficio può far uscire tutti gli utenti da un unico indirizzo di uscita, quindi cento persone producono un solo valore nel log. Il contrario accade altrettanto spesso: un account si connette da una linea domestica e da una linea d’ufficio nella stessa settimana, e entrambe le voci descrivono la stessa persona..