Korleis finne ut kva adresse FTP-tenaren faktisk loggar

Éi logglinje viser éi adresse. Laptopen ber ei tunelladresse, tilkopinga kan gå ut gjennom ein annan utgang, og nettlesartesten du køyrde beviser ingenting om FTP. Alle tre kan vere ulike, og logglinja registrerer alltid berre éi av dei. Avgjer kva tilkopling du spør om, før du samanliknar noko..

Desse trinna føreset ei autorisert gransking med eit definert tidsvindauge, ikkje ein gjennomgang av andre sine overføringar..

1. Avgjer kva tilkopling du spør om

FTP brukar to tilkoplingar. Kontrolltilkoplinga ber kommandoar og svar, og datatilkoplinga ber sjølve fila. Ei innloggingshending høyrer til den første, ei overføringshending til den andre, så éi økt i ein logg kan innehalde observasjonar frå to ulike nettverksvegar. Skriv ned kva hending adressefeltet høyrer til, før du dreg slutningar frå det..

Oppdelinga har ei praktisk følgje. Ei innloggingslinje og ei overføringslinje frå same økt kan bere to ulike kjeldeadresser, så å sitere ei av dei som «klienten si adresse» er eit gjetning om kva tilkopling du les. Kontroller hendingstypen før du matchar ei adresse med noko..

2. Følg kontrolltilkoplinga

Køyr klienten med feilsøkingsutdata slått på, eller ta opp på klienten medan han koplar til, og noter peeren han faktisk når. Viss ein VPN er aktiv og klienten rutes gjennom han, ser tenaren VPN-en si utgangsadresse i staden for laptopen si tilgangsnettverksadresse.

Viss klienten omgår tunellen, ser tenaren tilgangsadressa, og VPN-grensesnittet si eiga adresse blir aldri synleg på nettet. Difor er laptopen si tunelladresse vanlegvis den minst nyttige verdien i biletet: ho finst berre inne i tunellen. Bruk ss eller ei pakkeopptaking for å stadfeste kjelda klienten presenterer, i staden for å lese ho av på ein konfigurasjonsskjerm..

To kommandoar dekkjer det meste:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Den første listar opp dei lokale og peer-endepunkta som din eigen stack brukte. Den andre viser adressene som står på nettet, noko som er nærare tenaren sitt synspunkt, men framleis stoppar ved grensesnittet ditt, så berre loggen til tenaren eller hans eige opptak viser kva tenaren registrerte..

3. Kontroller om datatilkoplinga stemmer

I passiv modus fortel tenaren klienten kvar han skal kople til, og i aktiv modus koplar tenaren tilbake til ei adresse klienten oppgav. Begge modi kan sende datatilkoplinga ein annan stad enn kontrolltilkoplinga når omsetjing eller ein proxy ligg i vegen. Stadfest modusen frå klientloggen, og kontroller deretter om datatilkoplinga brukte same veg..

Ei overføring logga frå ei anna adresse enn innlogginga er ein reell observasjon og ikkje ein skadd post, og ho seier vanlegvis noko om vegen..

4. Be operatøren om ein smal post

Gi tenaroperatøren tidspunktet for økta med tidssone, kontoen, operasjonen og destinasjonen. Spør kva tilkopling som skapte adressefeltet, og om ein påliteleg mellommann endrar tydinga..

Les det faktiske skjemaet til den tenaren i staden for å gå ut frå at kvart produkt registrerer den opphavlege klienten, kontroll-peeren og data-peeren kvar for seg, fordi nokre oppsummerer ei heil økt under éi linje. Hald òg protokollen klar: SFTP er ein SSH-basert protokoll og ikkje FTP på ein annan port, og FTPS legg til TLS på FTP, så identiteten til tenesta i loggen avheng av kva du distribuerte..

5. Stadfest før du tilskriv

Éi utgangsadresse kan tena mange kundar, og éin konto kan brukast frå fleire tillatne kjelder, så ei adresse og eit brukarnamn identifiserer ikkje same eining. Logging er ein tenarpolicy: ein VPN endrar kjelda ei tilkopling presenterer, men han slettar ikkje kontonamnet, filnamnet eller operasjonen som tenesta som mottek handsama. Tilskriv berre det posten viser, og merk resten som ukjend. FTP-skildringa til WinSCP er ei kortfatta tilvising til to-tilkoplingsmodellen viss du må forklare han for nokon..

To vanlege tilfelle viser kvifor det betyr noko. Eit kontor kan sende alle brukarar ut gjennom éi einskild utgangsadresse, så hundre menneske gjev éin verdi i loggen. Det motsette skjer like ofte: éin konto koplar til frå ei heimline og frå ei kontorline i same veka, og begge oppføringane skildrar same person..