Як визначити, яку саме адресу насправді записує FTP-сервер

Рядок журналу показує одну адресу. Ноутбук має адресу тунелю, з’єднання може виходити через інший вихід, а перевірка в браузері нічого не доводить щодо FTP. Усі ці три можуть відрізнятися, а рядок журналу завжди фіксує лише одну з них. Вирішіть, про яке з’єднання ви питаєте, перш ніж щось порівнювати.

Ці кроки передбачають авторизоване розслідування з визначеним часовим вікном, а не перегляд чужих передач.

1. Визначте, про яке з’єднання йдеться

FTP використовує два з’єднання. З’єднання керування передає команди та відповіді, а з’єднання даних передає сам файл. Подія входу належить першому, подія передачі — другому, тому один сеанс у журналі може містити спостереження з двох різних мережевих шляхів. Запишіть, до якої події належить поле адреси, перш ніж робити з нього висновки.

Цей поділ має практичний наслідок. Рядок входу та рядок передачі з одного сеансу можуть містити дві різні адреси джерела, тож цитувати будь-яку з них як «адресу клієнта» означає вгадувати, яке з’єднання ви читаєте. Перевірте тип події, перш ніж зіставляти адресу з чимось.

2. Простежте з’єднання керування

Запустіть клієнт із увімкненим налагоджувальним виводом або зробіть захоплення на клієнті під час підключення та занотуйте вузол, якого він насправді досягає. Якщо VPN увімкнено і клієнт маршрутизується через нього, сервер бачить вихідну адресу VPN, а не адресу ноутбука в мережі доступу.

Якщо клієнт обходить тунель, сервер бачить адресу доступу, а власна адреса інтерфейсу VPN ніколи не з’являється в мережі. Саме тому адреса тунелю ноутбука зазвичай є найменш корисною величиною в цій картині: вона існує лише всередині тунелю. Використовуйте ss або захоплення пакетів, щоб підтвердити джерело, яке подає клієнт, а не зчитуйте його з екрана конфігурації.

Дві команди охоплюють більшу частину:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Перша показує локальні та віддалені кінцеві точки, які використав ваш власний стек. Друга показує адреси, записані в мережі; це ближче до погляду сервера, але все ще обмежується вашим інтерфейсом, тож лише журнал сервера або його власне захоплення показує, що сервер записав.

3. Перевірте, чи збігається з’єднання даних

У пасивному режимі сервер повідомляє клієнту, куди підключатися, а в активному — сервер підключається назад до адреси, яку надав клієнт. Обидва режими можуть спрямувати з’єднання даних не туди, куди йде з’єднання керування, якщо на шляху є трансляція адрес або проксі. Підтвердьте режим за журналом клієнта, а потім перевірте, чи використало з’єднання даних той самий шлях.

Передача, зафіксована з іншої адреси, ніж вхід, — це реальне спостереження, а не пошкоджений запис, і воно зазвичай щось говорить про шлях.

4. Попросіть в оператора вузький запис

Надайте оператору сервера час сеансу з його часовим поясом, обліковий запис, операцію та призначення. Запитайте, яке з’єднання породило поле адреси і чи змінює його значення довірений посередник.

Прочитайте фактичну схему цього сервера, а не припускайте, що кожен продукт записує оригінального клієнта, керуючий вузол і вузол даних окремо, адже деякі підсумовують цілий сеанс одним рядком. Тримайте протокол чітким: SFTP — це протокол на основі SSH, а не FTP на іншому порту, а FTPS додає TLS до FTP, тож ідентичність служби в журналі залежить від того, що ви розгорнули.

5. Перевірте, перш ніж приписувати

Вихідна адреса може обслуговувати багатьох клієнтів, а один обліковий запис можна використовувати з кількох дозволених джерел, тож адреса й ім’я користувача не вказують на одну й ту саму одиницю. Журналювання — це політика сервера: VPN змінює джерело, з якого надходить з’єднання, але не стирає ім’я облікового запису, ім’я файлу чи операцію, яку обробила служба-одержувач. Приписуйте лише те, що показує запис, а решту позначте як невідоме. Опис FTP у WinSCP — це стислий довідник щодо моделі двох з’єднань, якщо вам потрібно пояснити це комусь іншому.

Два звичайні випадки показують, чому це важливо. Офіс може випускати кожного користувача через єдину вихідну адресу, тож сто людей дають одне значення в журналі. Зворотне трапляється так само часто: один обліковий запис підключається з домашньої лінії та з офісної лінії того самого тижня, і обидва записи описують ту саму людину.