Jak ustalić, który adres serwer FTP faktycznie rejestruje

Jedna linia logu pokazuje jeden adres. Laptop ma adres tunelu, połączenie może wyjść przez inne wyjście, a test przeglądarki, który przeprowadzono, niczego nie dowodzi w sprawie FTP. Wszystkie trzy mogą się różnić, a linia logu zawsze zapisuje tylko jeden z nich. Zdecyduj, o które połączenie pytasz, zanim cokolwiek porównasz..

Te kroki zakładają uprawnione dochodzenie z określonym przedziałem czasu, a nie przeglądanie cudzych transferów..

1. Zdecyduj, o które połączenie pytasz

FTP używa dwóch połączeń. Połączenie sterowania przenosi polecenia i odpowiedzi, a połączenie danych przenosi sam plik. Zdarzenie logowania należy do pierwszego, zdarzenie transferu do drugiego, więc jedna sesja w logu może zawierać obserwacje z dwóch różnych ścieżek sieciowych. Zanotuj, do którego zdarzenia należy pole adresu, zanim wyciągniesz z niego wnioski..

Ten podział ma praktyczną konsekwencję. Linia logowania i linia transferu z tej samej sesji mogą nieść dwa różne adresy źródłowe, więc cytowanie któregokolwiek z nich jako „adresu klienta” jest zgadywaniem, które połączenie czytasz. Sprawdź typ zdarzenia, zanim dopasujesz adres do czegokolwiek..

2. Śledź połączenie sterowania

Uruchom klienta z włączonym wyjściem debugowania albo przechwyć ruch na kliencie, gdy się łączy, i zanotuj partnera, do którego faktycznie dociera. Jeśli VPN jest aktywny i klient idzie przez niego, serwer widzi adres wyjścia VPN, a nie adres sieci dostępowej laptopa.

Jeśli klient omija tunel, serwer widzi adres dostępowy, a własny adres interfejsu VPN nigdy nie pojawia się w sieci. Dlatego adres tunelu laptopa jest zwykle najmniej użyteczną wartością na obrazku: istnieje tylko wewnątrz tunelu. Użyj ss albo przechwytywania pakietów, aby potwierdzić źródło, które przedstawia klient, zamiast odczytywać je z ekranu konfiguracji..

Dwie polecenia pokrywają większość:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Pierwsze wymienia lokalne i partnerowe punkty końcowe, których użył twój własny stos. Drugie pokazuje adresy zapisane w sieci, co jest bliższe punktowi widzenia serwera, ale wciąż zatrzymuje się na twoim interfejsie, więc tylko log serwera albo jego własne przechwycenie pokazuje, co serwer zarejestrował..

3. Sprawdź, czy połączenie danych się zgadza

W trybie pasywnym serwer mówi klientowi, gdzie się połączyć, a w trybie aktywnym serwer łączy się z powrotem z adresem podanym przez klienta. Oba tryby mogą wysłać połączenie danych gdzie indziej niż połączenie sterowania, gdy na ścieżce jest tłumaczenie lub proxy. Potwierdź tryb na podstawie logu klienta, a następnie sprawdź, czy połączenie danych użyło tej samej ścieżki..

Transfer zarejestrowany z innego adresu niż logowanie jest rzeczywistą obserwacją, a nie uszkodzonym rekordem, i zwykle mówi coś o ścieżce..

4. Poproś operatora o wąski rekord

Podaj operatorowi serwera czas sesji wraz ze strefą czasową, konto, operację i cel. Zapytaj, które połączenie wytworzyło pole adresu i czy zaufany pośrednik zmienia jego znaczenie..

Przeczytaj rzeczywisty schemat tego serwera, zamiast zakładać, że każdy produkt rejestruje osobno oryginalnego klienta, partnera sterowania i partnera danych, ponieważ niektóre podsumowują całą sesję w jednej linii. Utrzymaj też jasność protokołu: SFTP to protokół oparty na SSH, a nie FTP na innym porcie, a FTPS dodaje TLS do FTP, więc tożsamość usługi w logu zależy od tego, którą wdrożono..

5. Zweryfikuj, zanim przypiszesz

Jeden adres wyjściowy może obsługiwać wielu klientów, a jedno konto może być używane z kilku dozwolonych źródeł, więc adres i nazwa użytkownika nie identyfikują tej samej jednostki. Logowanie jest polityką serwera: VPN zmienia źródło, które przedstawia połączenie, ale nie usuwa nazwy konta, nazwy pliku ani operacji przetworzonej przez usługę odbierającą. Przypisz tylko to, co pokazuje rekord, a resztę oznacz jako nieznaną. Opis FTP w WinSCP to zwięzła referencja do modelu dwóch połączeń, jeśli musisz wyjaśnić go komuś innemu..

Dwa zwykłe przypadki pokazują, dlaczego to ma znaczenie. Biuro może wypuścić każdego użytkownika przez jeden adres wyjściowy, więc sto osób wytwarza jedną wartość w logu. Odwrotność zdarza się równie często: jedno konto łączy się z linii domowej i z linii biurowej w tym samym tygodniu, a obie pozycje opisują tę samą osobę..