Porth ai cleient a anfonwyd ymlaen? Darllen y cyfeiriad ffynhonnell

Mae'r gweinydd gwe yn cofnodi un cyfeiriad, ac mae pawb yn tybio ei fod yn perthyn i broses y porth ei hun. Gallai berthyn i gleient a anfonwyd ymlaen y diflannodd ei gyfeiriad preifat yn ystod y cam cyfieithu. Mae'r gyrchfan yn gweld y ffynhonnell rwydwaith weladwy a dim mwy. Datganiad ffin yw hyn, nid honiad na ellir byth sefydlu'r tarddiad.

Yr hyn y mae'r gyrchfan yn ei weld mewn gwirionedd

Cymerwch gleient yn 10.20.0.7, porth â chyfeiriad allanol 198.51.100.10, a chyrchfan ar y rhyngrwyd. Os yw'r porth yn cyfieithu ffynhonnell y cleient, mae soced y gyrchfan yn cofnodi 198.51.100.10. Mae'r cyfeiriad preifat wedi diflannu o'r pecyn, ac ni all y gyrchfan ei ddarllen yn ôl o'r pennawd hwnnw. Mae'r rhifau hynny'n ddarluniadol, nid yn gipiad o'ch rhwydwaith.

Mae'r arsylwi'n dal yn ddefnyddiol: mae'n nodi'r ffynhonnell rwydwaith y mae'n rhaid i'r gyrchfan ei chaniatáu neu ei blocio. Nid yw'n nodi'r person na'r broses y tu ôl iddo. I weithredwr y gyrchfan, mae'r gwahaniaeth hwnnw'n penderfynu a yw bloc yn benderfyniad rhwydwaith neu'n benderfyniad cyfrif.

Nid yw cyflwr cyfieithu yn weladwy i'r gyrchfan

Mae'r porth yn cadw'r map rhwng y cysylltiad cyfieithiedig a'r cleient gwreiddiol, a'r cyflwr hwnnw'n union yw'r hyn sydd ar goll gan y gyrchfan. Mae disgrifiad NAT traddodiadol yn gwahanu'r cofnod cyfieithu oddi wrth y penawdau sy'n weladwy wedyn. Nid yw darllen un ochr yn rhoi'r llall i chi.

Mae gwahanol ddyluniadau'n cynhyrchu gwahanol dystiolaeth. Mae traffig wedi'i lwybrlannu â chyfeiriadau ffynhonnell wedi'u cadw yn dangos gwir gyfeiriad y cleient, tra bo procsi cymhwysiad yn terfynu'r cysylltiad ac yn creu un newydd. Mae llwybr â ffynhonnell gadwedig hefyd yn gofyn bod cyfeiriad y cleient yn llwybredig yn ôl o'r gyrchfan, nad yw pob defnyddiad yn ei ddarparu. Gofynnwch pa ddyluniad sydd wedi'i ddefnyddio cyn dehongli llinell log.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

Mae TTL a olion bysedd yn gliwiau, nid yn brawf

Mae TTL mewn IPv4 yn dibynnu ar y gwerth cychwynnol a ddewiswyd gan yr anfonydd ac ar nifer y neidiau a groesodd y pecyn. Heb y ddau ffaith, ni all gwerth brofi bod naid VPN wedi digwydd. Mae naid ychwanegol hysbys hefyd yn methu â gwahaniaethu rhwng llwybrydd LAN, llwybr twnnel neu drefniant anfon ymlaen arall. Triniwch wahaniaeth TTL fel cwestiwn, nid fel casgliad.

Mae signalau eraill yn ymddwyn yr un modd. Gall y cymhwysiad osod pennawd User-Agent, a gall tebygrwydd amser adlewyrchu seilwaith a rennir yn hytrach na pherson a rennir. Gall sawl defnyddiwr rannu un allanfa, a gall un defnyddiwr newid llwybrau rhwng sesiynau. Wedi'u casglu gyda'i gilydd, gall sawl signal gwan gyfiawnhau golwg agosach ar gofnodion porth, ond nid ydynt yn dod yn dystiolaeth gref trwy gronni.

Awdurdodwch trwy hunaniaeth, nid trwy gyfeiriad

Os oes rhaid i'r gyrchfan wahanu gweinyddiaeth y porth oddi wrth weithgarwch defnyddiwr o bell, rhowch hunaniaethau dilysedig ar wahân a gweithrediadau a ganiateir i'r rolau hynny. Gall ffynhonnell gyhoeddus a rennir fod yn gyfyngiad rhwydwaith o hyd, ond nid yw'n cymryd lle dilysu'r defnyddiwr na'r ddyfais.

Cadwch y dystiolaeth wedi'i labelu: ffynhonnell a arsylwyd, cyfrif dilysedig, amseriad a'r casgliad dan sylw. Peidiwch â chyfieithu „ni welir ffynhonnell fewnol yma“ fel „ni ellir priodoli yn unman“. Mae'r label yn bwysig pan fydd rhywun nad oedd yn rhan o'r ymchwiliad yn darllen y cofnod fisoedd yn ddiweddarach.

Cofnodwch ddyddiad yr arsylwi a'r system a'i cynhyrchodd. Mae detholiad log heb ei briodoli yn anodd ei amddiffyn yn ddiweddarach.