Prolaz ili proslijeđeni klijent? Kako čitati izvornu adresu

Web poslužitelj bilježi jednu adresu i svi pretpostavljaju da pripada procesu samog prolaza. Može pripadati proslijeđenom klijentu čija je privatna adresa nestala u koraku prevođenja. Odredište vidi vidljivi mrežni izvor i ništa više. To je tvrdnja o granici, a ne tvrdnja da se podrijetlo nikada ne može utvrditi.

Što odredište zapravo vidi

Uzmite klijenta na 10.20.0.7, prolaz čija je vanjska adresa 198.51.100.10 i odredište na internetu. Ako prolaz prevede klijentov izvor, odredišni socket bilježi 198.51.100.10. Privatna adresa nestaje iz paketa i odredište je ne može pročitati natrag iz tog zaglavlja. Ti su brojevi ilustrativni, a ne snimka iz vaše mreže.

Opažanje je ipak korisno: ono identificira mrežni izvor koji odredište mora dopustiti ili blokirati. Jednostavno ne identificira osobu ni proces iza njega. Za operatera odredišta ta razlika odlučuje je li blokada mrežna odluka ili odluka o računu.

Stanje prevođenja nije vidljivo odredištu

Prolaz čuva mapiranje između prevedene veze i izvornog klijenta, a to je točno ono što odredištu nedostaje. tradicionalni opis NAT-a odvaja zapis o prevođenju od zaglavlja vidljivih nakon toga. Čitanje jedne strane ne daje vam drugu.

Različiti dizajni daju različite dokaze. Usmjereni promet sa sačuvanim izvornim adresama pokazuje stvarnu adresu klijenta, dok aplikacijski proxy prekida vezu i stvara novu. Ruta sa sačuvanim izvorom također zahtijeva da klijentova adresa bude usmjeriva natrag s odredišta, što ne nudi svaka implementacija. Pitajte koji je dizajn implementiran prije nego što protumačite liniju zapisa.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL i otisci su tragovi, ne dokazi

TTL u IPv4 ovisi o početnoj vrijednosti koju odabere pošiljatelj i o broju skokova koje je paket prešao. Bez obiju činjenica vrijednost ne može dokazati da se dogodio VPN skok. Poznati dodatni usmjereni skok također ne uspijeva razlikovati LAN usmjerivač, put tunela ili drugi raspored prosljeđivanja. Tretirajte razliku u TTL-u kao pitanje, a ne kao zaključak.

Ostali signali ponašaju se jednako. Zaglavlje User-Agent može postaviti aplikacija, a sličnost vremena može odražavati zajedničku infrastrukturu, a ne zajedničku osobu. Nekoliko korisnika može dijeliti jedan izlaz, a jedan korisnik može mijenjati putanje između sesija. Skupno gledano, nekoliko slabih signala može opravdati pomniji pogled u zapise prolaza, ali oni ne postaju jaki dokazi gomilanjem.

Ovlastite po identitetu, ne po adresi

Ako odredište mora odvojiti administraciju prolaza od aktivnosti udaljenog korisnika, tim ulogama dajte odvojene autentificirane identitete i dopuštene operacije. Zajednički javni izvor još može služiti kao mrežno ograničenje, ali nije zamjena za autentifikaciju korisnika ili uređaja.

Držite dokaze označene: opaženi izvor, autentificirani račun, vrijeme i zaključak koji se razmatra. Nemojte prevoditi „ovdje nije vidljiv unutarnji izvor“ kao „atribucija nigdje nije moguća“. Oznaka je važna kada mjesecima kasnije zapis čita netko tko nije bio dio istrage.

Zabilježite datum opažanja i sustav koji ga je proizveo. Ulomak zapisa bez atribucije teško je kasnije braniti.