Kako ugotoviti, kateri naslov strežnik FTP dejansko zabeleži

Vrstica v dnevniku pokaže en naslov. Prenosnik ima naslov tunela, povezava lahko odide skozi drug izhod, preverjanje v brskalniku, ki ste ga opravili, pa o FTP ne pove ničesar. Vsi trije se lahko razlikujejo, vrstica v dnevniku pa zabeleži le enega od njih. Preden karkoli primerjate, ugotovite, o kateri povezavi sprašujete.

Ti koraki predpostavljajo pooblaščeno preiskavo z določenim časovnim oknom, ne brskanja po tujih prenosih.

1. Ugotovite, o kateri povezavi sprašujete

FTP uporablja dve povezavi. Krmilna povezava prenaša ukaze in odgovore, podatkovna povezava prenaša samo datoteko. Dogodek prijave pripada prvi, dogodek prenosa drugi, zato lahko ena seja v dnevniku vsebuje opažanja z dveh različnih omrežnih poti. Preden iz njega potegnete sklepe, zapišite, kateremu dogodku pripada polje naslova.

Razdelitev ima praktično posledico. Vrstica prijave in vrstica prenosa iz iste seje lahko nosita dva različna izvorna naslova, zato je navajanje katerega koli od njiju kot „naslov odjemalca“ ugibanje o tem, katero povezavo berete. Preden naslov primerjate s čimer koli, preverite vrsto dogodka.

2. Sledite krmilni povezavi

Zaženite odjemalca z vklopljenim razhroščevanjem ali med povezovanjem zajemite promet na odjemalcu in zabeležite, do katerega partnerja dejansko pride. Če je VPN vzpostavljen in je odjemalec usmerjen skozenj, strežnik vidi naslov izhoda VPN, ne naslova dostopovnega omrežja prenosnika.

Če odjemalec obide tunel, strežnik vidi dostopovni naslov, lastni naslov vmesnika VPN pa se na žici nikoli ne pojavi. Zato je naslov tunela prenosnika običajno najmanj uporabna vrednost na sliki: obstaja samo znotraj tunela. Za potrditev vira, ki ga odjemalec predloži, uporabite ss ali zajem paketov, namesto da bi ga brali z zaslona za nastavitve.

Dva ukaza pokrijeta večino:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Prvi izpiše lokalne in oddaljene končne točke, ki jih je uporabil vaš lastni sklad. Drugi pokaže naslove, zapisane na žici, kar je bližje pogledu strežnika, a se še vedno ustavi na vašem vmesniku, zato samo dnevnik strežnika ali njegov lastni zajem pokaže, kaj je strežnik zabeležil.

3. Preverite, ali se podatkovna povezava ujema

V pasivnem načinu strežnik pove odjemalcu, kam naj se poveže, v aktivnem načinu pa se strežnik poveže nazaj na naslov, ki ga je odjemalec posredoval. Oba načina lahko pošljeta podatkovno povezavo drugam kot krmilno, kadar je na poti pretvorba naslovov ali proxy. Potrdite način iz dnevnika odjemalca in nato preverite, ali je podatkovna povezava uporabila isto pot.

Prenos, zabeležen z drugega naslova kot prijava, je resnično opažanje in ne poškodovan zapis, in običajno nekaj pove o poti.

4. Operaterja prosite za ozek zapis

Operaterju strežnika podajte čas seje s časovnim pasom, račun, operacijo in cilj. Vprašajte, katera povezava je ustvarila polje naslova in ali zaupanja vreden posrednik spremeni njegov pomen.

Berite dejansko shemo tega strežnika, namesto da predpostavljate, da vsak izdelek ločeno beleži izvirnega odjemalca, krmilnega partnerja in podatkovnega partnerja, ker nekateri povzamejo celotno sejo v eno vrstico. Tudi protokol naj bo jasen: SFTP je protokol, ki temelji na SSH, ne FTP na drugih vratih, FTPS pa doda TLS k FTP, zato je identiteta storitve v dnevniku odvisna od tega, kaj ste uvedli.

5. Pred pripisom preverite

Izhodni naslov lahko služi mnogim strankam in en račun se lahko uporablja iz več dovoljenih virov, zato naslov in uporabniško ime ne označujeta iste enote. Beleženje je politika strežnika: VPN spremeni vir, ki ga povezava predloži, ne izbriše pa imena računa, imena datoteke ali operacije, ki jo je sprejemna storitev obdelala. Pripisujte samo tisto, kar zapis pokaže, ostalo označite kot neznano. opis FTP v WinSCP je jedrnata referenca za model dveh povezav, če ga morate komu razložiti.

Dva običajna primera kažeta, zakaj je to pomembno. Pisarna lahko vse uporabnike pošlje skozi en izhodni naslov, tako da sto ljudi ustvari eno vrednost v dnevniku. Obratno se dogaja prav tako pogosto: en račun se isti teden poveže z domače in s pisarniške linije, oba vnosa pa opisujeta isto osebo.