Passarel·la o client reenviat? Com llegir l'adreça d'origen

El servidor web registra una adreça i tothom assumeix que pertany al procés de la passarel·la mateixa. Pot pertànyer a un client reenviat l'adreça privada del qual va desaparèixer en el pas de traducció. La destinació veu l'origen de xarxa visible i res més. És una afirmació de frontera, no la pretensió que l'origen no es pugui establir mai.

Què veu realment la destinació

Preneu un client a 10.20.0.7, una passarel·la amb adreça exterior 198.51.100.10 i una destinació a internet. Si la passarel·la tradueix l'origen del client, el sòcol de la destinació registra 198.51.100.10. L'adreça privada desapareix del paquet i la destinació no la pot tornar a llegir d'aquella capçalera. Aquests números són il·lustratius, no una captura de la vostra xarxa.

L'observació continua sent útil: identifica l'origen de xarxa que la destinació ha de permetre o bloquejar. Simplement no identifica la persona ni el procés que hi ha al darrere. Per a l'operador de la destinació, aquesta distinció decideix si un bloqueig és una decisió de xarxa o una decisió de compte.

L'estat de traducció no és visible per a la destinació

La passarel·la conserva la correspondència entre la connexió traduïda i el client original, i aquest estat és exactament el que li falta a la destinació. descripció tradicional del NAT separa el registre de traducció de les capçaleres visibles després. Llegir un costat no us dona l'altre.

Dissenys diferents produeixen proves diferents. El trànsit encaminat amb adreces d'origen preservades mostra l'adreça real del client, mentre que un proxy d'aplicació acaba la connexió i en crea una de nova. Una ruta amb origen preservat també requereix que l'adreça del client sigui encaminable de tornada des de la destinació, cosa que no tots els desplegaments ofereixen. Pregunteu quin disseny s'ha desplegat abans d'interpretar una línia de registre.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

El TTL i les empremtes són pistes, no proves

El TTL d'IPv4 depèn del valor inicial triat per l'emissor i del nombre de salts que ha travessat el paquet. Sense tots dos fets, un valor no pot demostrar que s'hagi produït un salt de VPN. Un salt encaminat addicional conegut tampoc no distingeix un encaminador de LAN, un camí de túnel o una altra disposició de reenviament. Tracteu una diferència de TTL com una pregunta, no com una conclusió.

Altres senyals es comporten igual. Una capçalera User-Agent la pot fixar l'aplicació, i la similitud de temps pot reflectir infraestructura compartida en lloc d'una persona compartida. Diversos usuaris poden compartir una sortida, i un usuari pot canviar de camí entre sessions. Recollits junts, diversos senyals febles poden justificar una mirada més atenta als registres d'una passarel·la, però no esdevenen proves sòlides per acumulació.

Autoritzeu per identitat, no per adreça

Si la destinació ha de separar l'administració de la passarel·la de l'activitat d'usuaris remots, doneu a aquests rols identitats autenticades separades i operacions permeses. Un origen públic compartit encara pot servir com a restricció de xarxa, però no substitueix l'autenticació de l'usuari o del dispositiu.

Manteniu les proves etiquetades: origen observat, compte autenticat, moment i la inferència considerada. No traduïu «aquí no es veu cap origen intern» per «no és possible cap atribució enlloc». L'etiqueta importa quan algú que no formava part de la investigació llegeix el registre mesos després.

Registreu la data de l'observació i el sistema que la va produir. Un extracte de registre sense atribució és difícil de defensar més tard.