Şlüz, yoxsa yönləndirilmiş müştəri? Mənbə ünvanının oxunması

Veb server bir ünvanı qeyd edir və hamı onun şlüzün öz prosesinə aid olduğunu güman edir. O, tərcümə mərhələsində şəxsi ünvanı yoxa çıxmış yönləndirilmiş müştəriyə aid ola bilər. Təyinat nöqtəsi yalnız görünən şəbəkə mənbəyini görür və başqa heç nə. Bu, sərhəd bəyanatıdır, mənbəyin heç vaxt müəyyən edilə bilməyəcəyi iddiası deyil.

Təyinat nöqtəsi əslində nə görür

10.20.0.7 ünvanında bir müştəri, xarici ünvanı 198.51.100.10 olan bir şlüz və internetdə bir təyinat nöqtəsi götürün. Əgər şlüz müştərinin mənbəyini tərcümə edirsə, təyinat nöqtəsinin soketi 198.51.100.10 qeyd edir. Şəxsi ünvan paketdən yox olur və təyinat nöqtəsi onu həmin başlıqdan geri oxuya bilmir. Bu rəqəmlər nümunəvidir, şəbəkənizdən götürülmüş çəkiliş deyil.

Müşahidə yenə də faydalıdır: təyinat nöqtəsinin icazə verməli və ya bloklamalı olduğu şəbəkə mənbəyini müəyyən edir. Sadəcə arxasındakı şəxsi və ya prosesi müəyyən etmir. Təyinat nöqtəsinin operatoru üçün bu fərq blokun şəbəkə qərarı, yoxsa hesab qərarı olduğunu həll edir.

Tərcümə vəziyyəti təyinat nöqtəsi üçün görünmür

Şlüz tərcümə olunmuş bağlantı ilə ilkin müştəri arasındakı uyğunluğu saxlayır və təyinat nöqtəsinin çatışmayanı məhz bu vəziyyətdir. ənənəvi NAT təsviri tərcümə qeydini sonradan görünən başlıqlardan ayırır. Bir tərəfi oxumaq digərini vermir.

Fərqli dizaynlar fərqli dəlillər yaradır. Mənbə ünvanları qorunmuş marşrutlaşdırılmış trafik müştərinin həqiqi ünvanını göstərir, tətbiq proksisi isə bağlantını sonlandırıb yenisini yaradır. Qorunmuş mənbəli marşrut həm də müştərinin ünvanının təyinat nöqtəsindən geriyə marşrutlaşdırıla bilməsini tələb edir ki, bunu hər yerləşdirmə təqdim etmir. Log sətrini şərh etməzdən əvvəl hansı dizaynın tətbiq olunduğunu soruşun.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL və barmaq izləri işarədir, sübut deyil

IPv4 TTL dəyəri göndərənin seçdiyi ilkin dəyərdən və paketin keçdiyi hop sayından asılıdır. Hər iki fakt olmadan bir dəyər VPN hopunun baş verdiyini sübut edə bilməz. Məlum əlavə marşrutlaşdırılmış hop da LAN marşrutlaşdırıcısını, tunel yolunu və ya başqa yönləndirmə quruluşunu ayırd edə bilmir. TTL fərqini nəticə deyil, sual kimi qəbul edin.

Digər siqnallar da eyni cür davranır. User-Agent başlığını tətbiq təyin edə bilər və vaxt oxşarlığı ortaq şəxsi deyil, ortaq infrastrukturu əks etdirə bilər. Bir neçə istifadəçi bir çıxışı paylaşa bilər və bir istifadəçi sessiyalar arasında yolu dəyişə bilər. Birlikdə toplandıqda bir neçə zəif siqnal şlüzün qeydlərinə daha yaxından baxmağı əsaslandıra bilər, lakin yığılmaqla güclü dəlilə çevrilmirlər.

Ünvana görə deyil, şəxsiyyətə görə icazə verin

Əgər təyinat nöqtəsi şlüz idarəçiliyini uzaq istifadəçi fəaliyyətindən ayırmalıdırsa, bu rollara ayrı autentifikasiya olunmuş şəxsiyyətlər və icazə verilmiş əməliyyatlar verin. Ortaq ictimai mənbə yenə də şəbəkə məhdudiyyəti kimi xidmət edə bilər, lakin istifadəçinin və ya cihazın autentifikasiyasını əvəz etmir.

Dəlilləri etiketli saxlayın: müşahidə olunan mənbə, autentifikasiya olunmuş hesab, vaxt və nəzərdən keçirilən çıxarış. «Burada görünən daxili mənbə yoxdur» ifadəsini «heç yerdə atribusiya mümkün deyil» kimi tərcümə etməyin. Etiket aylar sonra araşdırmanın bir hissəsi olmayan biri qeydi oxuyanda vacibdir.

Müşahidənin tarixini və onu yaradan sistemi qeyd edin. Atribusiyasız log çıxarışını sonradan müdafiə etmək çətindir.