Cara mengetahui alamat mana yang sebenarnya direkodkan oleh pelayan FTP

Satu baris log memaparkan satu alamat. Komputer riba membawa alamat terowong, sambungan boleh keluar melalui laluan keluar yang lain, dan semakan pelayar yang anda jalankan tidak membuktikan apa-apa tentang FTP. Ketiga-tiganya boleh berbeza, dan baris log sentiasa merekodkan hanya satu daripadanya. Tentukan sambungan mana yang anda tanyakan sebelum membandingkan apa-apa..

Langkah-langkah ini menganggap siasatan yang dibenarkan dengan tetingkap masa yang ditetapkan, bukan meneliti pemindahan orang lain..

1. Tentukan sambungan mana yang anda tanyakan

FTP menggunakan dua sambungan. Sambungan kawalan membawa arahan dan balasan, dan sambungan data membawa fail itu sendiri. Peristiwa log masuk tergolong dalam yang pertama, peristiwa pemindahan dalam yang kedua, jadi satu sesi dalam log boleh memegang pemerhatian daripada dua laluan rangkaian yang berbeza. Tuliskan peristiwa mana yang memiliki medan alamat sebelum anda membuat kesimpulan daripadanya..

Perpisahan ini mempunyai akibat praktikal. Baris log masuk dan baris pemindahan daripada sesi yang sama boleh membawa dua alamat sumber yang berbeza, jadi memetik mana-mana satu daripadanya sebagai “alamat klien” ialah tekaan tentang sambungan mana yang anda baca. Semak jenis peristiwa sebelum memadankan alamat dengan apa-apa..

2. Ikuti sambungan kawalan

Jalankan klien dengan output nyahpepijat diaktifkan, atau tangkap pada klien semasa ia bersambung, dan catat rakan setara yang benar-benar dicapainya. Jika VPN diaktifkan dan klien dihalakan melaluinya, pelayan melihat alamat keluar VPN dan bukan alamat rangkaian akses komputer riba.

Jika klien memintas terowong, pelayan melihat alamat akses dan alamat antara muka VPN itu sendiri tidak pernah muncul di wayar. Itulah sebabnya alamat terowong komputer riba biasanya nilai paling kurang berguna dalam gambaran: ia wujud hanya di dalam terowong. Gunakan ss atau tangkapan paket untuk mengesahkan sumber yang dikemukakan oleh klien, dan bukannya membacanya daripada skrin konfigurasi..

Dua arahan meliputi sebahagian besarnya:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Yang pertama menyenaraikan titik akhir tempatan dan rakan setara yang digunakan oleh tindanan anda sendiri. Yang kedua menunjukkan alamat yang ditulis di wayar, yang lebih dekat dengan pandangan pelayan tetapi masih berhenti pada antara muka anda, jadi hanya log pelayan atau tangkapannya sendiri menunjukkan apa yang direkodkan oleh pelayan..

3. Semak sama ada sambungan data sepadan

Dalam mod pasif pelayan memberitahu klien ke mana hendak bersambung, dan dalam mod aktif pelayan bersambung semula ke alamat yang diberikan oleh klien. Kedua-dua mod boleh menghantar sambungan data ke tempat lain daripada sambungan kawalan apabila terdapat terjemahan atau proksi di laluan. Sahkan mod daripada log klien, kemudian semak sama ada sambungan data menggunakan laluan yang sama..

Pemindahan yang direkodkan daripada alamat berbeza daripada log masuk ialah pemerhatian sebenar dan bukan rekod rosak, dan ia biasanya menyatakan sesuatu tentang laluan..

4. Minta operator memberikan rekod yang sempit

Berikan kepada operator pelayan masa sesi dengan zon waktunya, akaun, operasi dan destinasi. Tanyakan sambungan mana yang menghasilkan medan alamat, dan sama ada perantara yang dipercayai mengubah maknanya..

Baca skema sebenar pelayan itu dan bukannya menganggap setiap produk merekodkan klien asal, rakan kawalan dan rakan data secara berasingan, kerana sesetengahnya merumuskan keseluruhan sesi di bawah satu baris. Kekalkan protokol itu jelas juga: SFTP ialah protokol berasaskan SSH dan bukan FTP pada port lain, dan FTPS menambah TLS kepada FTP, jadi identiti perkhidmatan dalam log bergantung kepada yang mana anda gunakan..

5. Sahkan sebelum mengaitkan

Satu alamat keluar boleh melayani banyak pelanggan, dan satu akaun boleh digunakan daripada beberapa sumber yang dibenarkan, jadi alamat dan nama pengguna tidak mengenal pasti unit yang sama. Pencatatan log ialah dasar pelayan: VPN mengubah sumber yang dikemukakan oleh sambungan, tetapi ia tidak memadam nama akaun, nama fail atau operasi yang diproses oleh perkhidmatan penerima. Kaitkan hanya apa yang ditunjukkan oleh rekod dan tandakan selebihnya sebagai tidak diketahui. Penerangan FTP WinSCP ialah rujukan padat untuk model dua sambungan jika anda perlu menjelaskannya kepada orang lain..

Dua kes biasa menunjukkan mengapa perkara itu penting. Pejabat boleh menghantar setiap pengguna keluar melalui satu alamat keluar, jadi seratus orang menghasilkan satu nilai dalam log. Sebaliknya berlaku sama kerap: satu akaun bersambung dari talian rumah dan dari talian pejabat dalam minggu yang sama, dan kedua-dua entri menerangkan orang yang sama..