Slik finner du ut hvilken adresse FTP-serveren faktisk logger

Én logglinje viser én adresse. Laptopen bærer en tunneladresse, forbindelsen kan gå ut gjennom en annen utgang, og nettlesertesten du kjørte beviser ingenting om FTP. Alle tre kan være forskjellige, og logglinjen registrerer alltid bare én av dem. Avgjør hvilken forbindelse du spør om, før du sammenligner noe..

Disse trinnene forutsetter en autorisert undersøkelse med et definert tidsvindu, ikke en gjennomgang av andres overføringer..

1. Avgjør hvilken forbindelse du spør om

FTP bruker to forbindelser. Kontrollforbindelsen bærer kommandoer og svar, og dataforbindelsen bærer selve filen. En innloggingshendelse hører til den første, en overføringshendelse til den andre, så én økt i en logg kan inneholde observasjoner fra to forskjellige nettverksveier. Skriv ned hvilken hendelse adressefeltet hører til, før du trekker konklusjoner fra det..

Oppdelingen har en praktisk konsekvens. En innloggingslinje og en overføringslinje fra samme økt kan bære to forskjellige kildeadresser, så å sitere en av dem som «klientens adresse» er et gjetning om hvilken forbindelse du leser. Kontroller hendelsestypen før du matcher en adresse med noe..

2. Følg kontrollforbindelsen

Kjør klienten med feilsøkingsutdata aktivert, eller ta opp på klienten mens den kobler til, og noter peeren den faktisk når. Hvis en VPN er aktiv og klienten rutes gjennom den, ser serveren VPN-ens utgangsadresse i stedet for laptopens tilgangsnettverksadresse.

Hvis klienten omgår tunnelen, ser serveren tilgangsadressen, og VPN-grensesnittets egen adresse vises aldri på nettet. Derfor er laptopens tunneladresse vanligvis den minst nyttige verdien i bildet: den finnes bare inne i tunnelen. Bruk ss eller en pakkefangst for å bekrefte kilden klienten presenterer, i stedet for å lese den av på en konfigurasjonsskjerm..

To kommandoer dekker det meste:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Den første viser de lokale og peer-endepunktene som din egen stack brukte. Den andre viser adressene som står på nettet, noe som er nærmere serverens synspunkt, men fortsatt stopper ved grensesnittet ditt, så bare serverens logg eller dens egen opptak viser hva serveren registrerte..

3. Kontroller om dataforbindelsen stemmer

I passiv modus forteller serveren klienten hvor den skal koble til, og i aktiv modus kobler serveren tilbake til en adresse klienten oppgav. Begge modiene kan sende dataforbindelsen et annet sted enn kontrollforbindelsen når oversettelse eller en proxy ligger i veien. Bekreft modusen fra klientloggen, og kontroller deretter om dataforbindelsen brukte samme vei..

En overføring logget fra en annen adresse enn innloggingen er en reell observasjon og ikke en skadet post, og den sier vanligvis noe om veien..

4. Be operatøren om en smal post

Gi serveroperatøren øktens tidspunkt med tidssone, kontoen, operasjonen og destinasjonen. Spør hvilken forbindelse som skapte adressefeltet, og om en betrodd mellommann endrer betydningen..

Les den faktiske skjemaet til den serveren i stedet for å anta at hvert produkt registrerer den opprinnelige klienten, kontroll-peeren og data-peeren separat, fordi noen oppsummerer en hel økt under én linje. Hold protokollen klar også: SFTP er en SSH-basert protokoll og ikke FTP på en annen port, og FTPS legger til TLS på FTP, så tjenestens identitet i loggen avhenger av hvilken du distribuerte..

5. Verifiser før du tilskriver

Én utgangsadresse kan betjene mange kunder, og én konto kan brukes fra flere tillatte kilder, så en adresse og et brukernavn identifiserer ikke samme enhet. Logging er en serverpolicy: en VPN endrer kilden en forbindelse presenterer, men den sletter ikke kontonavnet, filnavnet eller operasjonen som tjenesten som mottok behandlet. Tilskriv bare det posten viser, og merk resten som ukjent. WinSCP sin FTP-beskrivelse er en kortfattet referanse for to-forbindelsesmodellen hvis du må forklare den for noen..

To vanlige tilfeller viser hvorfor det betyr noe. Et kontor kan sende alle brukere ut gjennom én enkelt utgangsadresse, så hundre mennesker gir én verdi i loggen. Det motsatte skjer like ofte: én konto kobler til fra en hjemlinje og fra en kontorlinje i samme uke, og begge oppføringene beskriver samme person..