Paano Malalaman Kung Aling Address ang Talagang Naitatala ng FTP Server

Isang address lang ang ipinapakita ng isang log line. May address ng tunnel ang laptop, maaaring lumabas ang koneksyon sa ibang exit, at wala pang pinapatunayan ang browser check mo tungkol sa FTP. Maaaring magkaiba ang tatlong iyon, at isa lang sa kanila ang laging naitatala ng log line. Magpasya kung aling koneksyon ang pinag-uusapan mo bago maghambing ng kahit ano.

Ipinapalagay ng mga hakbang na ito ang isang awtorisadong imbestigasyon na may takdang time window, hindi ang pagsilip sa mga transfer ng ibang tao.

1. Itakda kung aling koneksyon ang pinag-uusapan mo

Dalawang koneksyon ang ginagamit ng FTP. Ang control connection ang nagdadala ng mga command at reply, at ang data connection ang nagdadala ng file mismo. Ang login event ay kabilang sa una, ang transfer event ay sa pangalawa, kaya ang isang session sa log ay maaaring may mga obserbasyon mula sa dalawang magkaibang network path. Isulat kung aling event kabilang ang address field bago ka magbigay ng konklusyon mula rito.

May praktikal na kahihinatnan ang paghahati. Ang login line at transfer line mula sa isang session ay maaaring magdala ng dalawang magkaibang source address, kaya ang pagsipi ng alinman bilang ”address ng client” ay isang hula tungkol sa kung aling koneksyon ang binabasa mo. Suriin ang uri ng event bago mo itugma ang isang address sa kahit ano.

2. Subaybayan ang control connection

Patakbuhin ang client na bukas ang debug output, o kumuha ng capture sa client habang kumokonekta ito, at itala ang peer na aktuwal na naaabot nito. Kung nakaup ang isang VPN at dumadaan dito ang client, nakikita ng server ang exit address ng VPN sa halip na ang access-network address ng laptop.

Kung lumalampas ang client sa tunnel, nakikita ng server ang access address at hindi kailanman lumilitaw sa wire ang sariling address ng VPN interface. Kaya naman ang tunnel address ng laptop ang karaniwang pinakamaliit ang pakinabang na halaga sa larawan: umiiral lang ito sa loob ng tunnel. Gamitin ang ss o isang packet capture para kumpirmahin ang source na ipinapakita ng client, sa halip na basahin ito sa configuration screen.

Sakop ng dalawang command ang halos lahat:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Inililista ng una ang local at peer endpoint na ginamit ng sarili mong stack. Ipinapakita ng pangalawa ang mga address na nakasulat sa wire, na mas malapit sa pananaw ng server ngunit humihinto pa rin sa iyong interface, kaya ang log ng server o ang sarili nitong capture lang ang nagpapakita ng naitala ng server.

3. Suriin kung tugma ang data connection

Sa passive mode, sinasabi ng server sa client kung saan kokonekta, at sa active mode ay kumokonekta pabalik ang server sa address na ibinigay ng client. Maaaring ipadala ng parehong mode ang data connection sa ibang lugar kaysa sa control connection kapag may translation o proxy sa daraanan. Kumpirmahin ang mode mula sa client log, pagkatapos ay suriin kung ginamit ng data connection ang parehong path.

Ang transfer na naitala mula sa ibang address kaysa sa login ay tunay na obserbasyon at hindi sira ang record, at karaniwang may sinasabi ito tungkol sa path.

4. Humingi sa operator ng makitid na record

Ibigay sa operator ng server ang oras ng session kasama ang timezone nito, ang account, ang operasyon at ang destinasyon. Itanong kung aling koneksyon ang gumawa ng address field, at kung binabago ng isang pinagkakatiwalaang intermediary ang kahulugan nito.

Basahin ang aktuwal na schema ng server na iyon sa halip na ipagpalagay na hiwalay na naitatala ng bawat produkto ang orihinal na client, ang control peer at ang data peer, dahil may ilang nagbubuod ng buong session sa isang linya. Panatilihing malinaw din ang protocol: ang SFTP ay protocol na nakabatay sa SSH at hindi FTP sa ibang port, at ang FTPS ay nagdaragdag ng TLS sa FTP, kaya ang pagkakakilanlan ng serbisyo sa log ay depende sa kung alin ang inilathala mo.

5. Beripikahin bago iugnay

Ang isang exit address ay maaaring maglingkod sa maraming customer, at ang isang account ay maaaring gamitin mula sa ilang pinapayagang source, kaya ang address at username ay hindi tumutukoy sa isang unit. Ang pag-log ay patakaran ng server: binabago ng VPN ang source na ipinapakita ng koneksyon, ngunit hindi nito binubura ang pangalan ng account, ang filename o ang operasyong pinroseso ng serbisyong tumatanggap. Iugnay lamang ang ipinapakita ng record at markahan ang iba bilang hindi alam. Ang paglalarawan ng WinSCP sa FTP ay isang maikling sanggunian sa modelong may dalawang koneksyon kung kailangan mong ipaliwanag ito sa iba.

Dalawang karaniwang kaso ang nagpapakita kung bakit mahalaga iyon. Maaaring ilabas ng isang opisina ang bawat user sa isang exit address, kaya isang value lang ang nalilikha ng isang daang tao sa log. Kabaligtaran naman ang madalas ding nangyayari: ang isang account ay kumokonekta mula sa linya ng bahay at sa linya ng opisina sa parehong linggo, at inilalarawan ng dalawang entry ang parehong tao.