Cum afli ce adresă înregistrează de fapt serverul FTP

O linie de jurnal arată o singură adresă. Laptopul are o adresă de tunel, conexiunea poate ieși printr-o altă ieșire, iar verificarea din browser pe care ai făcut-o nu dovedește nimic despre FTP. Toate trei pot fi diferite, iar linia de jurnal înregistrează doar una dintre ele. Stabilește despre ce conexiune întrebi înainte de a compara ceva.

Acești pași presupun o investigație autorizată cu o fereastră de timp definită, nu o plimbare prin transferurile altcuiva.

1. Stabilește despre ce conexiune întrebi

FTP folosește două conexiuni. Conexiunea de control transportă comenzi și răspunsuri, iar conexiunea de date transportă fișierul propriu-zis. Un eveniment de autentificare aparține primeia, un eveniment de transfer aparține celei de-a doua, așa că o sesiune dintr-un jurnal poate conține observații din două căi de rețea diferite. Notează cărui eveniment îi aparține câmpul de adresă înainte de a trage vreo concluzie.

Divizarea are o consecință practică. O linie de autentificare și una de transfer din aceeași sesiune pot purta două adrese sursă diferite, așa că a cita oricare dintre ele drept „adresa clientului” este o presupunere despre ce conexiune citești. Verifică tipul evenimentului înainte de a potrivi o adresă cu orice.

2. Urmărește conexiunea de control

Rulează clientul cu ieșire de depanare activată, sau capturează pe client în timp ce se conectează, și notează partenerul pe care îl atinge efectiv. Dacă un VPN este activ și clientul este rutat prin el, serverul vede adresa de ieșire a VPN-ului, nu adresa rețelei de acces a laptopului.

Dacă clientul ocolește tunelul, serverul vede adresa de acces, iar adresa proprie a interfeței VPN nu apare niciodată pe fir. De aceea adresa de tunel a laptopului este de obicei cea mai puțin utilă valoare din imagine: există doar în interiorul tunelului. Folosește ss sau o captură de pachete pentru a confirma sursa pe care o prezintă clientul, în loc să o citești de pe un ecran de configurare.

Două comenzi acoperă cea mai mare parte:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Prima listează punctele locale și pereche pe care le-a folosit stiva ta. A doua arată adresele scrise pe fir, ceea ce este mai aproape de vederea serverului, dar se oprește tot la interfața ta, așa că doar jurnalul serverului sau captura acestuia arată ce a înregistrat serverul.

3. Verifică dacă conexiunea de date se potrivește

În modul pasiv serverul îi spune clientului unde să se conecteze, iar în modul activ serverul se conectează înapoi la o adresă furnizată de client. Ambele moduri pot trimite conexiunea de date în alt loc decât conexiunea de control atunci când în cale există traducere de adrese sau un proxy. Confirmă modul din jurnalul clientului, apoi verifică dacă conexiunea de date a folosit aceeași cale.

Un transfer înregistrat de la o adresă diferită de cea a autentificării este o observație reală, nu o înregistrare coruptă, și de obicei spune ceva despre cale.

4. Cere operatorului o înregistrare îngustă

Dă operatorului serverului ora sesiunii împreună cu fusul orar, contul, operația și destinația. Întreabă ce conexiune a produs câmpul de adresă și dacă un intermediar de încredere îi schimbă semnificația.

Citește schema reală a acelui server în loc să presupui că fiecare produs înregistrează separat clientul original, partenerul de control și partenerul de date, pentru că unele rezumă o sesiune întreagă într-o singură linie. Păstrează și protocolul clar: SFTP este un protocol bazat pe SSH, nu FTP pe alt port, iar FTPS adaugă TLS la FTP, deci identitatea serviciului din jurnal depinde de care l-ai implementat.

5. Verifică înainte de a atribui

O adresă de ieșire poate servi mulți clienți, iar un cont poate fi folosit din mai multe surse permise, așa că o adresă și un nume de utilizator nu identifică aceeași entitate. Jurnalizarea este politică a serverului: un VPN schimbă sursa pe care o prezintă o conexiune, dar nu șterge numele contului, numele fișierului sau operația pe care serviciul receptor a procesat-o. Atribuie doar ce arată înregistrarea și marchează restul ca necunoscut. descrierea FTP din WinSCP este o referință compactă pentru modelul cu două conexiuni dacă trebuie să i-l explici altcuiva.

Două cazuri obișnuite arată de ce contează. Un birou poate trimite toți utilizatorii printr-o singură adresă de ieșire, așa că o sută de oameni produc o singură valoare în jurnal. Opusul se întâmplă la fel de des: un cont se conectează de pe o linie de acasă și de pe una de la birou în aceeași săptămână, iar ambele intrări descriu aceeași persoană.