W trakcie obserwacji pakietów za pomocą sniffera zauważono, że urządzenia komunikują się na portach 20 oraz 21. Oznacza to, zakładając domyślną konfigurację, że obserwowanym protokołem jest protokół
A. SSH
B. FTP
C. SMTP
D. DHCP
Pytanie z egzaminu CKE, czerwiec 2021 (arkusz E.13-SG-21.06).
Porty 20 i 21 jednoznacznie kojarzą się z protokołem FTP, czyli File Transfer Protocol. W domyślnej konfiguracji FTP używa portu TCP 21 jako kanału sterującego, gdzie przesyłane są komendy, logowanie użytkownika, hasło, polecenia typu LIST, RETR czy STOR. Port TCP 20 jest natomiast klasycznie związany z kanałem danych, szczególnie w trybie aktywnym FTP. To właśnie po nim mogą iść właściwe dane, np. pobierany plik albo lista katalogów. Moim zdaniem to jest jeden z tych zestawów portów, które warto znać na pamięć, bo bardzo często pojawiają się w diagnostyce sieci i na egzaminach. W praktyce, gdy w Wiresharku albo tcpdump widać ruch na 21/TCP, administrator od razu sprawdza, czy nie działa serwer FTP, czy użytkownik nie przesyła plików jawnym tekstem i czy usługa nie powinna być zastąpiona bezpieczniejszym SFTP albo FTPS. Trzeba też pamiętać o różnicy między trybem aktywnym i pasywnym: w trybie pasywnym FTP dane mogą iść po dynamicznych portach, więc samo 20 nie zawsze musi się pojawić. Jednak w pytaniu jest mowa o portach 20 i 21 oraz domyślnej konfiguracji, więc poprawnym rozpoznaniem jest FTP. Zgodnie z dobrymi praktykami branżowymi nie wystarczy patrzeć tylko na nazwę aplikacji, ale warto sprawdzać protokół transportowy, numer portu, kierunek połączenia i ewentualnie zawartość pakietów, jeśli nie jest szyfrowana.
Jeżeli przy analizie ruchu sieciowego widzisz porty 20 oraz 21, to nie należy tego mylić z pocztą, konfiguracją adresów IP ani zdalną administracją przez powłokę. SMTP służy do przesyłania poczty elektronicznej między serwerami i standardowo kojarzy się głównie z portem TCP 25, a przy wysyłaniu poczty przez klienta często z 587 albo 465 przy szyfrowaniu. Wybór SMTP zwykle wynika z ogólnego skojarzenia, że skoro coś przesyła dane, to może być poczta, ale porty są tutaj zupełnie inne. DHCP też nie pasuje, bo ten protokół działa na UDP, najczęściej na portach 67 i 68, i odpowiada za przydzielanie adresu IP, maski, bramy domyślnej oraz DNS. W snifferze ruch DHCP wygląda inaczej, bo często pojawiają się pakiety typu Discover, Offer, Request i Acknowledge, zwykle przy starcie urządzenia w sieci. SSH również odpada, mimo że port 22 leży bardzo blisko 20 i 21. SSH standardowo pracuje na TCP 22 i służy do bezpiecznego logowania zdalnego, tunelowania oraz administracji systemami, szczególnie Linux/Unix. Typowy błąd polega tu na patrzeniu tylko na to, że numery portów są podobne, zamiast powiązać je z konkretną usługą z listy well-known ports IANA. W diagnostyce sieciowej warto zapamiętać kilka podstawowych par: FTP 20/21, SSH 22, SMTP 25, DNS 53, DHCP 67/68, HTTP 80 i HTTPS 443. Z mojego doświadczenia taka mapa portów bardzo ułatwia czytanie przechwyconych pakietów, bo od razu wiadomo, gdzie szukać problemu i czy dana usługa w ogóle powinna działać w tej sieci.