Cách xác định địa chỉ nào máy chủ FTP thực sự ghi lại

Một dòng nhật ký chỉ hiển thị một địa chỉ. Máy tính xách tay mang một địa chỉ đường hầm, kết nối có thể đi ra qua một đầu ra khác, và lần kiểm tra trình duyệt bạn đã chạy không chứng minh được gì về FTP. Ba giá trị đó đều có thể khác nhau, và dòng nhật ký chỉ ghi lại một trong số chúng. Hãy quyết định bạn đang hỏi về kết nối nào trước khi so sánh bất cứ điều gì.

Các bước này giả định một cuộc điều tra được phép với khung thời gian xác định, không phải việc xem lướt các lần truyền của người khác.

1. Xác định bạn đang hỏi về kết nối nào

FTP dùng hai kết nối. Kết nối điều khiển mang lệnh và phản hồi, còn kết nối dữ liệu mang chính tệp. Sự kiện đăng nhập thuộc về kết nối thứ nhất, sự kiện truyền thuộc về kết nối thứ hai, nên một phiên trong nhật ký có thể chứa quan sát từ hai đường mạng khác nhau. Hãy ghi lại trường địa chỉ thuộc sự kiện nào trước khi rút ra kết luận từ nó.

Việc tách này có hệ quả thực tế. Dòng đăng nhập và dòng truyền từ cùng một phiên có thể mang hai địa chỉ nguồn khác nhau, nên trích dẫn một trong hai làm ”địa chỉ máy khách” chỉ là phỏng đoán về kết nối bạn đang đọc. Hãy kiểm tra loại sự kiện trước khi đối chiếu một địa chỉ với bất cứ thứ gì.

2. Lần theo kết nối điều khiển

Chạy máy khách với đầu ra gỡ lỗi được bật, hoặc bắt gói trên máy khách khi nó kết nối, và ghi lại máy ngang hàng mà nó thực sự chạm tới. Nếu VPN đang bật và máy khách được định tuyến qua đó, máy chủ thấy địa chỉ đầu ra của VPN chứ không phải địa chỉ mạng truy cập của máy tính xách tay.

Nếu máy khách bỏ qua đường hầm, máy chủ thấy địa chỉ truy cập và địa chỉ riêng của giao diện VPN không bao giờ xuất hiện trên đường truyền. Đó là lý do địa chỉ đường hầm của máy tính xách tay thường là giá trị ít hữu ích nhất trong bức tranh: nó chỉ tồn tại bên trong đường hầm. Hãy dùng ss hoặc bắt gói để xác nhận nguồn mà máy khách trình ra, thay vì đọc nó từ màn hình cấu hình.

Hai lệnh bao quát phần lớn:

ss -tnp state established "( sport = :21 or dport = :21 )"
tcpdump -ni any tcp port 21

Lệnh thứ nhất liệt kê các điểm cuối cục bộ và ngang hàng mà ngăn xếp của chính bạn đã dùng. Lệnh thứ hai hiển thị các địa chỉ được ghi trên đường truyền, gần với góc nhìn của máy chủ hơn nhưng vẫn dừng ở giao diện của bạn, nên chỉ nhật ký của máy chủ hoặc bản bắt gói của chính nó mới cho thấy máy chủ đã ghi lại gì.

3. Kiểm tra xem kết nối dữ liệu có khớp không

Ở chế độ thụ động, máy chủ báo cho máy khách biết nơi cần kết nối, còn ở chế độ chủ động, máy chủ kết nối ngược lại địa chỉ do máy khách cung cấp. Cả hai chế độ đều có thể đưa kết nối dữ liệu tới nơi khác với kết nối điều khiển khi có dịch địa chỉ hoặc proxy trên đường đi. Hãy xác nhận chế độ từ nhật ký máy khách, rồi kiểm tra xem kết nối dữ liệu có dùng cùng đường đi đó không.

Một lần truyền được ghi từ địa chỉ khác với lần đăng nhập là quan sát thật chứ không phải bản ghi hỏng, và nó thường nói lên điều gì đó về đường đi.

4. Yêu cầu người vận hành cung cấp bản ghi hẹp

Cung cấp cho người vận hành máy chủ thời gian của phiên kèm múi giờ, tài khoản, thao tác và đích đến. Hỏi xem kết nối nào đã tạo ra trường địa chỉ, và liệu một bên trung gian đáng tin cậy có làm thay đổi ý nghĩa của nó không.

Hãy đọc lược đồ thực tế của máy chủ đó thay vì giả định rằng mọi sản phẩm đều ghi riêng máy khách gốc, máy ngang hàng điều khiển và máy ngang hàng dữ liệu, vì một số sản phẩm tóm gọn cả phiên trong một dòng. Cũng hãy giữ giao thức cho rõ ràng: SFTP là giao thức dựa trên SSH chứ không phải FTP ở cổng khác, và FTPS thêm TLS vào FTP, nên danh tính dịch vụ trong nhật ký phụ thuộc vào việc bạn đã triển khai cái nào.

5. Xác minh trước khi quy kết

Một địa chỉ đầu ra có thể phục vụ nhiều khách hàng, và một tài khoản có thể được dùng từ vài nguồn được phép, nên một địa chỉ và một tên người dùng không xác định cùng một thực thể. Ghi nhật ký là chính sách của máy chủ: VPN thay đổi nguồn mà một kết nối trình ra, nhưng không xóa tên tài khoản, tên tệp hay thao tác mà dịch vụ nhận đã xử lý. Chỉ quy kết những gì bản ghi cho thấy và đánh dấu phần còn lại là chưa biết. Nếu cần giải thích cho người khác, mô tả FTP của WinSCP là tài liệu tham chiếu ngắn gọn về mô hình hai kết nối.

Hai trường hợp thông thường cho thấy vì sao điều đó quan trọng. Một văn phòng có thể đưa mọi người dùng ra ngoài qua một địa chỉ đầu ra duy nhất, nên một trăm người chỉ tạo ra một giá trị trong nhật ký. Điều ngược lại cũng xảy ra thường xuyên như vậy: một tài khoản kết nối từ đường dây tại nhà và từ đường dây văn phòng trong cùng một tuần, và cả hai mục đều mô tả cùng một người.