Como saber qual endereço o servidor FTP realmente registra

Uma linha de log mostra um endereço. O laptop carrega um endereço de túnel, a conexão pode sair por uma saída diferente, e a verificação de navegador que você fez não prova nada sobre FTP. Esses três podem ser todos diferentes, e a linha de log registra apenas um deles. Decida de qual conexão você está falando antes de comparar qualquer coisa.

Estes passos pressupõem uma investigação autorizada com uma janela de tempo definida, não uma navegação pelas transferências de outra pessoa.

1. Fixe de qual conexão você está falando

O FTP usa duas conexões. A conexão de controle carrega comandos e respostas, e a conexão de dados carrega o próprio arquivo. Um evento de login pertence à primeira, um evento de transferência pertence à segunda, então uma sessão em um log pode conter observações de dois caminhos de rede diferentes. Anote a qual evento o campo de endereço pertence antes de tirar conclusões dele.

A divisão tem uma consequência prática. Uma linha de login e uma linha de transferência da mesma sessão podem trazer dois endereços de origem diferentes, então citar qualquer uma delas como “o endereço do cliente” é um palpite sobre qual conexão você está lendo. Verifique o tipo de evento antes de comparar um endereço com qualquer coisa.

2. Siga a conexão de controle

Execute o cliente com saída de depuração habilitada, ou capture no cliente enquanto ele se conecta, e anote o par que ele realmente alcança. Se um VPN está ativo e o cliente é roteado por ele, o servidor vê o endereço de saída da VPN e não o endereço da rede de acesso do laptop.

Se o cliente contorna o túnel, o servidor vê o endereço de acesso e o endereço da própria interface VPN nunca aparece no fio. É por isso que o endereço de túnel do laptop costuma ser o valor menos útil da figura: ele existe apenas dentro do túnel. Use ss ou uma captura de pacotes para confirmar a origem que o cliente apresenta, em vez de lê-la em uma tela de configuração.

Dois comandos cobrem a maior parte disso:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

O primeiro lista os pontos locais e remotos que sua própria pilha usou. O segundo mostra os endereços escritos no fio, o que fica mais perto da visão do servidor mas ainda para na sua interface, então só o log do servidor ou a captura dele mostra o que o servidor registrou.

3. Verifique se a conexão de dados coincide

No modo passivo o servidor diz ao cliente onde se conectar, e no modo ativo o servidor se conecta de volta a um endereço que o cliente forneceu. Ambos os modos podem enviar a conexão de dados para um lugar diferente da conexão de controle quando há tradução ou um proxy no caminho. Confirme o modo pelo log do cliente e depois verifique se a conexão de dados usou o mesmo caminho.

Uma transferência registrada de um endereço diferente do login é uma observação real e não um registro corrompido, e geralmente diz algo sobre o caminho.

4. Peça ao operador um registro estreito

Dê ao operador do servidor o horário da sessão com seu fuso horário, a conta, a operação e o destino. Pergunte qual conexão produziu o campo de endereço e se um intermediário confiável muda o significado dele.

Leia o esquema real desse servidor em vez de supor que todo produto registra separadamente o cliente original, o par de controle e o par de dados, porque alguns resumem uma sessão inteira em uma linha. Mantenha o protocolo claro também: SFTP é um protocolo baseado em SSH e não FTP em outra porta, e FTPS acrescenta TLS ao FTP, então a identidade do serviço no log depende de qual você implantou.

5. Verifique antes de atribuir

Um endereço de saída pode servir muitos clientes, e uma conta pode ser usada a partir de várias origens permitidas, então um endereço e um nome de usuário não identificam a mesma unidade. O registro é política do servidor: uma VPN muda a origem que uma conexão apresenta, mas não apaga o nome da conta, o nome do arquivo nem a operação que o serviço receptor processou. Atribua apenas o que o registro mostra e marque o resto como desconhecido. A descrição de FTP do WinSCP é uma referência compacta para o modelo de duas conexões se você precisar explicá-lo a outra pessoa.

Dois casos comuns mostram por que isso importa. Um escritório pode mandar todos os usuários saírem por um único endereço de saída, então cem pessoas produzem um valor no log. O contrário acontece com a mesma frequência: uma conta se conecta de uma linha residencial e de uma linha do escritório na mesma semana, e as duas entradas descrevem a mesma pessoa.