Hur du avgör vilken adress FTP-servern faktiskt loggar

En logg rad visar en adress. Laptopen har en tunneladress, anslutningen kan gå ut via en annan utgång, och webbläsarkontrollen du gjorde säger ingenting om FTP. Alla tre kan skilja sig, och loggraden registrerar bara en av dem. Bestäm vilken anslutning du frågar om innan du jämför något.

De här stegen förutsätter en auktoriserad undersökning med ett definierat tidsfönster, inte ett bläddrande i någon annans överföringar.

1. Bestäm vilken anslutning du frågar om

FTP använder två anslutningar. Styranslutningen bär kommandon och svar, och dataanslutningen bär själva filen. En inloggningshändelse hör till den första, en överföringshändelse till den andra, så en session i en logg kan innehålla observationer från två olika nätvägar. Skriv ner vilken händelse adressfältet hör till innan du drar slutsatser av det.

Uppdelningen har en praktisk konsekvens. En inloggningsrad och en överföringsrad från samma session kan bära två olika källadresser, så att citera någon av dem som ”klientens adress” är en gissning om vilken anslutning du läser. Kontrollera händelsetypen innan du matchar en adress mot något.

2. Följ styranslutningen

Kör klienten med felsökningsutdata aktiverad, eller fånga trafik på klienten medan den ansluter, och notera vilken peer den faktiskt når. Om en VPN är uppe och klienten dirigeras genom den, ser servern VPN:ens utgångsadress i stället för laptopens åtkomstnätsadress.

Om klienten går förbi tunneln ser servern åtkomstadressen och VPN-gränssnittets egen adress dyker aldrig upp på länken. Därför är laptopens tunneladress oftast det minst användbara värdet i bilden: den finns bara inuti tunneln. Använd ss eller en paketfångst för att bekräfta den källa klienten presenterar, i stället för att läsa av den från en inställningsskärm.

Två kommandon täcker det mesta:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Den första listar de lokala och externa ändpunkter som din egen stack använde. Den andra visar adresserna som skrivs på länken, vilket ligger närmare serverns vy men fortfarande stannar vid ditt gränssnitt, så bara serverns logg eller dess egen fångst visar vad servern registrerade.

3. Kontrollera om dataanslutningen stämmer

I passivt läge talar servern om för klienten var den ska ansluta, och i aktivt läge ansluter servern tillbaka till en adress som klienten angett. Båda lägena kan skicka dataanslutningen någon annanstans än styranslutningen när adresstranslation eller en proxy finns i vägen. Bekräfta läget i klientloggen och kontrollera sedan om dataanslutningen använde samma väg.

En överföring loggad från en annan adress än inloggningen är en verklig observation och inte en skadad post, och den säger oftast något om vägen.

4. Be operatören om en snäv post

Ge serveroperatören sessionstiden med tidszon, kontot, åtgärden och målet. Fråga vilken anslutning som producerade adressfältet och om en betrodd mellanhand ändrar dess betydelse.

Läs den serverns faktiska schema i stället för att anta att varje produkt registrerar originalklienten, styrpeeren och datapeeren separat, eftersom några sammanfattar en hel session på en rad. Håll också protokollet klart: SFTP är ett SSH-baserat protokoll och inte FTP på en annan port, och FTPS lägger till TLS till FTP, så tjänstens identitet i loggen beror på vilken du driftsatt.

5. Verifiera innan du tillskriver

En utgångsadress kan betjäna många kunder, och ett konto kan användas från flera tillåtna källor, så en adress och ett användarnamn identifierar inte samma enhet. Loggning är serverns policy: en VPN ändrar den källa en anslutning presenterar, men den suddar inte kontonamnet, filnamnet eller åtgärden som den mottagande tjänsten behandlade. Tillskriv bara det posten visar och markera resten som okänt. WinSCP:s FTP-beskrivning är en kompakt referens för tvåanslutningsmodellen om du behöver förklara den för någon annan.

Två vanliga fall visar varför det spelar roll. Ett kontor kan skicka alla användare ut genom en enda utgångsadress, så hundra personer ger ett värde i loggen. Det omvända händer lika ofta: ett konto ansluter från en hemma- och en kontorslinje samma vecka, och båda posterna beskriver samma person.