Kako utvrditi koju adresu FTP server zapravo zapisuje

Linija dnevnika prikazuje jednu adresu. Laptop ima adresu tunela, veza može izaći kroz drugi izlaz, a provera u pregledaču ne dokazuje ništa o FTP-u. Sve tri mogu se razlikovati, a linija dnevnika uvek beleži samo jednu od njih. Odlučite o kojoj vezi pitate pre nego što bilo šta uporedite.

Ovi koraci pretpostavljaju ovlašćenu istragu sa definisanim vremenskim prozorom, a ne razgledanje tuđih prenosa.

1. Utvrdite o kojoj vezi pitate

FTP koristi dve veze. Kontrolna veza prenosi komande i odgovore, a veza podataka prenosi samu datoteku. Događaj prijave pripada prvoj, događaj prenosa drugoj, pa jedna sesija u dnevniku može sadržati zapažanja sa dva različita mrežna puta. Zapišite kojem događaju pripada polje adrese pre nego što iz njega izvedete zaključke.

Ta podela ima praktičnu posledicu. Linija prijave i linija prenosa iz iste sesije mogu nositi dve različite izvorne adrese, pa navođenje bilo koje kao „adresa klijenta” jeste nagađanje o tome koju vezu čitate. Proverite tip događaja pre nego što adresu uparite sa bilo čim.

2. Pratite kontrolnu vezu

Pokrenite klijent sa uključenim izlazom za otklanjanje grešaka ili snimajte na klijentu dok se povezuje i zabeležite čvor koji zaista doseže. Ako je VPN uključen i klijent se usmerava kroz njega, server vidi izlaznu adresu VPN-a, a ne adresu laptopa u pristupnoj mreži.

Ako klijent zaobilazi tunel, server vidi pristupnu adresu, a sopstvena adresa VPN interfejsa nikad se ne pojavljuje na mreži. Zato je adresa tunela laptopa obično najmanje korisna vrednost na slici: postoji samo unutar tunela. Koristite ss ili snimanje paketa da potvrdite izvor koji klijent predstavlja, umesto da ga čitate sa ekrana konfiguracije.

Dve komande pokrivaju većinu:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Prva navodi lokalne i udaljene krajnje tačke koje je koristio vaš stek. Druga prikazuje adrese zapisane na mreži, što je bliže pogledu servera, ali se i dalje zaustavlja na vašem interfejsu, pa samo serverski dnevnik ili njegovo sopstveno snimanje pokazuje šta je server zabeležio.

3. Proverite da li se veza podataka poklapa

U pasivnom režimu server govori klijentu gde da se poveže, a u aktivnom se server povezuje nazad na adresu koju je klijent dostavio. Oba režima mogu poslati vezu podataka negde drugačije od kontrolne veze kada je na putu prevođenje adresa ili proksi. Potvrdite režim iz dnevnika klijenta, a zatim proverite da li je veza podataka koristila isti put.

Prenos zabeležen sa druge adrese od prijave je stvarno zapažanje, a ne oštećen zapis, i obično govori nešto o putu.

4. Zatražite od operatera uzak zapis

Dajte operateru servera vreme sesije sa vremenskom zonom, nalog, operaciju i odredište. Pitajte koja je veza proizvela polje adrese i da li pouzdani posrednik menja njegovo značenje.

Pročitajte stvarnu šemu tog servera umesto da pretpostavljate da svaki proizvod odvojeno beleži originalnog klijenta, kontrolnog partnera i partnera podataka, jer neki sažimaju celu sesiju u jednu liniju. Držite i protokol jasnim: SFTP je protokol zasnovan na SSH, a ne FTP na drugom portu, a FTPS dodaje TLS na FTP, pa identitet usluge u dnevniku zavisi od toga šta ste rasporedili.

5. Proverite pre nego što pripišete

Izlazna adresa može služiti mnogim klijentima, a jedan nalog može se koristiti sa nekoliko dozvoljenih izvora, pa adresa i korisničko ime ne označavaju istu jedinicu. Evidentiranje je politika servera: VPN menja izvor koji veza predstavlja, ali ne briše naziv naloga, naziv datoteke ili operaciju koju je usluga primalac obradila. Pripisujte samo ono što zapis pokazuje, a ostalo označite kao nepoznato. Opis FTP-a u WinSCP-u je sažet referens za model dve veze ako to treba nekome objasniti.

Dva obična slučaja pokazuju zašto je to važno. Kancelarija može svakog korisnika poslati kroz jednu izlaznu adresu, pa sto ljudi daje jednu vrednost u dnevniku. Obrnuto se dešava jednako često: jedan nalog se povezuje sa kućne i sa kancelarijske linije iste nedelje, i oba zapisa opisuju istu osobu.