Brána, nebo předaný klient? Jak číst zdrojovou adresu

Webový server zaznamená jednu adresu a všichni předpokládají, že patří procesu samotné brány. Může patřit předanému klientovi, jehož privátní adresa zmizela při překladu. Cíl vidí viditelný síťový zdroj a nic víc. Je to tvrzení o hranici, ne tvrzení, že původ nelze nikdy zjistit.

Co cíl skutečně vidí

Vezměte klienta na 10.20.0.7, bránu s vnější adresou 198.51.100.10 a cíl na internetu. Pokud brána přeloží zdroj klienta, socket cíle zaznamená 198.51.100.10. Privátní adresa z paketu zmizí a cíl ji z této hlavičky už nepřečte. Ta čísla jsou ilustrativní, ne zachycená data z vaší sítě.

Pozorování je přesto užitečné: určuje síťový zdroj, který cíl musí povolit nebo zablokovat. Prostě neidentifikuje osobu ani proces za ním. Pro provozovatele cíle toto rozlišení rozhoduje, zda je blokování síťové rozhodnutí, nebo rozhodnutí o účtu.

Stav překladu není pro cíl viditelný

Brána uchovává mapování mezi přeloženým spojením a původním klientem a přesně tento stav cíli chybí. tradiční popis NAT odděluje záznam o překladu od hlaviček viditelných poté. Čtení jedné strany vám nedá tu druhou.

Různá řešení poskytují různé důkazy. Směrovaný provoz se zachovanými zdrojovými adresami ukazuje skutečnou adresu klienta, zatímco aplikační proxy spojení ukončí a vytvoří nové. Trasa se zachovaným zdrojem také vyžaduje, aby adresa klienta byla směrovatelná zpět z cíle, což ne každé nasazení nabízí. Než začnete interpretovat řádek logu, zjistěte, jaké řešení je nasazeno.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL a otisky jsou stopy, ne důkazy

TTL v IPv4 závisí na počáteční hodnotě zvolené odesílatelem a na počtu skoků, které paket prošel. Bez obou faktů nemůže hodnota dokázat, že došlo ke skoku přes VPN. Známý skok navíc také nedokáže rozlišit LAN router, cestu tunelem nebo jiné uspořádání předávání. Berte rozdíl v TTL jako otázku, ne jako závěr.

Ostatní signály se chovají stejně. Hlavičku User-Agent může nastavit aplikace a podobnost časování může odrážet sdílenou infrastrukturu, ne sdílenou osobu. Několik uživatelů může sdílet jeden výstup a jeden uživatel může mezi relacemi měnit cesty. V souhrnu mohou slabé signály ospravedlnit bližší pohled do záznamů brány, ale hromaděním se z nich silné důkazy nestanou.

Autorizujte podle identity, ne podle adresy

Pokud cíl musí oddělit správu brány od činnosti vzdáleného uživatele, dejte těmto rolím oddělené ověřené identity a povolené operace. Sdílený veřejný zdroj může stále sloužit jako síťové omezení, ale nenahrazuje ověření uživatele nebo zařízení.

Držte důkazy označené: pozorovaný zdroj, ověřený účet, časování a zvažovaný závěr. Nepřekládejte „zde není vidět žádný vnitřní zdroj“ jako „atribuce není nikde možná“. Označení je důležité, když záznam o měsíce později čte někdo, kdo nebyl součástí vyšetřování.

Zaznamenejte datum pozorování a systém, který ho vytvořil. Výňatek z logu bez atribuce se později těžko obhajuje.