Hoe u kunt zien welk adres de FTP-server eigenlijk logt

Eén logregel toont één adres. De laptop heeft een tunneladres, de verbinding kan via een andere uitgang naar buiten gaan, en de browsertest die u uitvoerde bewijst niets over FTP. Alle drie kunnen verschillend zijn, en de logregel registreert altijd maar één daarvan. Bepaal over welke verbinding u het heeft voordat u iets vergelijkt..

Deze stappen veronderstellen een geautoriseerd onderzoek met een vast tijdvenster, geen rondkijken in de overdrachten van iemand anders..

1. Bepaal over welke verbinding u het heeft

FTP gebruikt twee verbindingen. De controleverbinding draagt commando’s en antwoorden, en de datavverbinding draagt het bestand zelf. Een inloggebeurtenis hoort bij de eerste, een overdrachtsgebeurtenis bij de tweede, dus één sessie in een log kan waarnemingen uit twee verschillende netwerkpaden bevatten. Schrijf op bij welke gebeurtenis het adresveld hoort voordat u er conclusies aan verbindt..

Deze splitsing heeft een praktische consequentie. Een inlogregel en een overdrachtsregel uit dezelfde sessie kunnen twee verschillende bronadressen dragen, dus een van beide citeren als „het adres van de client” is een gok over welke verbinding u leest. Controleer het gebeurtenistype voordat u een adres aan iets koppelt..

2. Volg de controleverbinding

Start de client met foutopsporingsuitvoer ingeschakeld, of leg vast op de client terwijl die verbindt, en noteer de peer die hij werkelijk bereikt. Als een VPN actief is en de client erdoorheen gaat, ziet de server het uitgangsadres van de VPN en niet het toegangsnetwerkadres van de laptop.

Als de client de tunnel omzeilt, ziet de server het toegangsadres en verschijnt het eigen adres van de VPN-interface nooit op de lijn. Daarom is het tunneladres van de laptop meestal de minst bruikbare waarde in het beeld: het bestaat alleen binnen de tunnel. Gebruik ss of een pakketopname om de bron te bevestigen die de client presenteert, in plaats van die van een configuratiescherm af te lezen..

Twee commando’s dekken het meeste:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

De eerste somt de lokale en peer-eindpunten op die uw eigen stack gebruikte. De tweede toont de adressen die op de lijn staan, wat dichter bij het beeld van de server komt maar nog steeds bij uw interface stopt, dus alleen het log van de server of zijn eigen opname toont wat de server registreerde..

3. Controleer of de datavverbinding overeenkomt

In passieve modus vertelt de server de client waar die moet verbinden, en in actieve modus verbindt de server terug naar een adres dat de client opgaf. Beide modi kunnen de datavverbinding ergens anders heen sturen dan de controleverbinding wanneer er vertaling of een proxy in het pad zit. Bevestig de modus uit het clientlog en controleer daarna of de datavverbinding hetzelfde pad gebruikte..

Een overdracht die vanaf een ander adres dan de inlog is gelogd, is een echte waarneming en geen beschadigd record, en het zegt meestal iets over het pad..

4. Vraag de operator om een smal record

Geef de serveroperator de sessietijd met tijdzone, het account, de bewerking en de bestemming. Vraag welke verbinding het adresveld produceerde, en of een vertrouwde tussenpersoon de betekenis verandert..

Lees het werkelijke schema van die server in plaats van aan te nemen dat elk product de oorspronkelijke client, de controle-peer en de data-peer afzonderlijk vastlegt, want sommige vatten een hele sessie onder één regel samen. Houd ook het protocol duidelijk: SFTP is een op SSH gebaseerd protocol en niet FTP op een andere poort, en FTPS voegt TLS aan FTP toe, dus de identiteit van de dienst in het log hangt af van welke u hebt uitgerold..

5. Verifieer voordat u toeschrijft

Eén uitgangsadres kan veel klanten dienen, en één account kan vanuit meerdere toegestane bronnen worden gebruikt, dus een adres en een gebruikersnaam identificeren niet dezelfde eenheid. Logging is een serverbeleid: een VPN verandert de bron die een verbinding presenteert, maar wist niet de accountnaam, de bestandsnaam of de bewerking die de ontvangende dienst verwerkte. Schrijf alleen toe wat het record toont en markeer de rest als onbekend. De FTP-beschrijving van WinSCP is een compacte referentie voor het model met twee verbindingen als u het aan iemand moet uitleggen..

Twee gewone gevallen tonen waarom dat uitmaakt. Een kantoor kan elke gebruiker via één uitgangsadres naar buiten sturen, zodat honderd mensen één waarde in het log opleveren. Het omgekeerde gebeurt net zo vaak: één account verbindt in dezelfde week vanaf een thuislijn en vanaf een kantoorlijn, en beide vermeldingen beschrijven dezelfde persoon..