Ako zistiť, ktorú adresu server FTP skutočne zaznamenáva

Riadok v logu ukazuje jednu adresu. Notebook má adresu tunela, spojenie môže odchádzať cez iný výstup a kontrola v prehliadači, ktorú ste urobili, o FTP nič nehovorí. Všetky tri sa môžu líšiť a riadok v logu vždy zaznamenáva len jednu z nich. Predtým, než čokoľvek porovnáte, rozhodnite, o ktorom spojení sa pýtate.

Tieto kroky predpokladajú autorizované vyšetrovanie s definovaným časovým oknom, nie prehliadanie cudzích prenosov.

1. Určite, o ktoré spojenie sa pýtate

FTP používa dve spojenia. Riadiace spojenie prenáša príkazy a odpovede, dátové spojenie prenáša samotný súbor. Udalosť prihlásenia patrí prvému, udalosť prenosu druhému, takže jedna relácia v logu môže obsahovať pozorovania z dvoch rôznych sieťových ciest. Skôr než z neho vyvodíte závery, zapíšte si, ku ktorej udalosti pole adresy patrí.

Rozdelenie má praktický dôsledok. Riadok prihlásenia a riadok prenosu z tej istej relácie môžu niesť dve rôzne zdrojové adresy, takže citovať ktorýkoľvek z nich ako „adresu klienta“ je dohad o tom, ktoré spojenie čítate. Pred porovnaním adresy s čímkoľvek skontrolujte typ udalosti.

2. Sledujte riadiace spojenie

Spustite klienta so zapnutým ladením alebo zachyťte prevádzku na klientovi počas pripájania a poznamenajte si, ktorý partner je skutočne dosiahnutý. Ak je VPN aktívna a klient je cez ňu smerovaný, server vidí adresu výstupu VPN, nie adresu prístupovej siete notebooku.

Ak klient obchádza tunel, server vidí prístupovú adresu a vlastná adresa rozhrania VPN sa na drôte nikdy neobjaví. Preto je adresa tunela notebooku zvyčajne najmenej užitočná hodnota na obrázku: existuje iba vo vnútri tunela. Na potvrdenie zdroja, ktorý klient predkladá, použite ss alebo zachytenie paketov, namiesto čítania z konfiguračnej obrazovky.

Dva príkazy pokrývajú väčšinu:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Prvý vypíše miestne a vzdialené koncové body, ktoré použil váš vlastný zásobník. Druhý ukazuje adresy zapísané na drôte, čo je bližšie k pohľadu servera, ale stále sa zastaví na vašom rozhraní, takže iba log servera alebo jeho vlastné zachytenie ukáže, čo server zaznamenal.

3. Skontrolujte, či dátové spojenie sedí

V pasívnom režime server hovorí klientovi, kam sa pripojiť, a v aktívnom režime sa server pripája späť na adresu, ktorú klient poskytol. Oba režimy môžu poslať dátové spojenie inam než riadiace spojenie, ak je v ceste preklad adries alebo proxy. Potvrďte režim z logu klienta a potom skontrolujte, či dátové spojenie použilo rovnakú cestu.

Prenos zaznamenaný z inej adresy než prihlásenie je skutočné pozorovanie, nie poškodený záznam, a zvyčajne o ceste niečo hovorí.

4. Požiadajte operátora o úzky záznam

Dajte operátorovi servera čas relácie s časovým pásmom, účet, operáciu a cieľ. Spýtajte sa, ktoré spojenie vytvorilo pole adresy a či dôveryhodný sprostredkovateľ mení jeho význam.

Čítajte skutočnú schému toho servera, namiesto toho, aby ste predpokladali, že každý produkt zaznamenáva pôvodného klienta, riadiaceho partnera a dátového partnera oddelene, pretože niektoré zhrnú celú reláciu do jedného riadku. Majte jasný aj protokol: SFTP je protokol založený na SSH, nie FTP na inom porte, a FTPS pridáva TLS k FTP, takže identita služby v logu závisí od toho, ktorý ste nasadili.

5. Pred priradením overte

Výstupná adresa môže obsluhovať mnoho zákazníkov a jeden účet možno používať z viacerých povolených zdrojov, takže adresa a používateľské meno neoznačujú tú istú jednotku. Zaznamenávanie je politika servera: VPN mení zdroj, ktorý spojenie predkladá, ale nevymaže názov účtu, názov súboru ani operáciu, ktorú prijímajúca služba spracovala. Priraďte iba to, čo záznam ukazuje, a zvyšok označte ako neznámy. popis FTP vo WinSCP je stručná referencia k modelu dvoch spojení, ak to potrebujete niekomu vysvetliť.

Dva bežné prípady ukazujú, prečo je to dôležité. Kancelária môže posielať všetkých používateľov cez jednu výstupnú adresu, takže sto ľudí vytvorí v logu jednu hodnotu. Opak sa deje rovnako často: jeden účet sa v tom istom týždni pripojí z domácej linky aj z kancelárskej, a oba záznamy opisujú toho istého človeka.