Πύλη ή προωθημένος πελάτης; Πώς διαβάζουμε τη διεύθυνση προέλευσης

Ο διακομιστής ιστού καταγράφει μία διεύθυνση και όλοι υποθέτουν ότι ανήκει στη διεργασία της ίδιας της πύλης. Μπορεί να ανήκει σε έναν προωθημένο πελάτη του οποίου η ιδιωτική διεύθυνση εξαφανίστηκε στο βήμα της μετάφρασης. Ο προορισμός βλέπει την ορατή πηγή δικτύου και τίποτε άλλο. Αυτή είναι μια δήλωση ορίου, όχι ισχυρισμός ότι η προέλευση δεν μπορεί ποτέ να εξακριβωθεί.

Τι βλέπει πραγματικά ο προορισμός

Πάρτε έναν πελάτη στη διεύθυνση 10.20.0.7, μια πύλη με εξωτερική διεύθυνση 198.51.100.10 και έναν προορισμό στο διαδίκτυο. Αν η πύλη μεταφράσει την προέλευση του πελάτη, ο υποδοχέας του προορισμού καταγράφει 198.51.100.10. Η ιδιωτική διεύθυνση εξαφανίζεται από το πακέτο και ο προορισμός δεν μπορεί να τη διαβάσει ξανά από αυτή την κεφαλίδα. Αυτοί οι αριθμοί είναι ενδεικτικοί, όχι καταγραφή από το δίκτυό σας.

Η παρατήρηση παραμένει χρήσιμη: προσδιορίζει την πηγή δικτύου που ο προορισμός πρέπει να επιτρέψει ή να αποκλείσει. Απλώς δεν προσδιορίζει το πρόσωπο ή τη διεργασία πίσω από αυτή. Για τον διαχειριστή του προορισμού, αυτή η διάκριση καθορίζει αν ένας αποκλεισμός είναι απόφαση δικτύου ή απόφαση λογαριασμού.

Η κατάσταση μετάφρασης δεν είναι ορατή στον προορισμό

Η πύλη διατηρεί την αντιστοίχιση μεταξύ της μεταφρασμένης σύνδεσης και του αρχικού πελάτη, και αυτή ακριβώς η κατάσταση λείπει από τον προορισμό. Η παραδοσιακή περιγραφή NAT διαχωρίζει την εγγραφή μετάφρασης από τις κεφαλίδες που είναι ορατές μετά. Διαβάζοντας τη μία πλευρά δεν αποκτάτε την άλλη.

Διαφορετικοί σχεδιασμοί παράγουν διαφορετικά στοιχεία. Η δρομολογημένη κίνηση με διατηρημένες διευθύνσεις προέλευσης δείχνει την πραγματική διεύθυνση του πελάτη, ενώ ένας διαμεσολαβητής εφαρμογής τερματίζει τη σύνδεση και δημιουργεί μια νέα. Μια διαδρομή με διατηρημένη προέλευση απαιτεί επίσης η διεύθυνση του πελάτη να είναι δρομολογήσιμη πίσω από τον προορισμό, κάτι που δεν προσφέρει κάθε ανάπτυξη. Ρωτήστε ποιος σχεδιασμός έχει αναπτυχθεί πριν ερμηνεύσετε μια γραμμή αρχείου καταγραφής.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL και αποτυπώματα είναι ενδείξεις, όχι αποδείξεις

Το TTL σε IPv4 εξαρτάται από την αρχική τιμή που επιλέγει ο αποστολέας και από τον αριθμό των αλμάτων που διέσχισε το πακέτο. Χωρίς και τα δύο γεγονότα, μια τιμή δεν μπορεί να αποδείξει ότι συνέβη άλμα VPN. Ένα γνωστό επιπλέον δρομολογημένο άλμα επίσης δεν διακρίνει έναν δρομολογητή LAN, μια διαδρομή σήραγγας ή μια άλλη διάταξη προώθησης. Αντιμετωπίστε τη διαφορά TTL ως ερώτηση, όχι ως συμπέρασμα.

Άλλα σήματα συμπεριφέρονται με τον ίδιο τρόπο. Μια κεφαλίδα User-Agent μπορεί να οριστεί από την εφαρμογή, και η χρονική ομοιότητα μπορεί να αντανακλά κοινή υποδομή αντί για κοινό πρόσωπο. Αρκετοί χρήστες μπορούν να μοιράζονται μία έξοδο, και ένας χρήστης μπορεί να αλλάζει διαδρομές μεταξύ συνεδριών. Συγκεντρωμένα, αρκετά αδύναμα σήματα μπορεί να δικαιολογήσουν στενότερη ματιά στα αρχεία μιας πύλης, αλλά δεν γίνονται ισχυρά στοιχεία με τη συσσώρευση.

Εξουσιοδοτήστε με βάση την ταυτότητα, όχι τη διεύθυνση

Αν ο προορισμός πρέπει να διαχωρίσει τη διαχείριση της πύλης από τη δραστηριότητα απομακρυσμένων χρηστών, δώστε σε αυτούς τους ρόλους ξεχωριστές πιστοποιημένες ταυτότητες και επιτρεπόμενες ενέργειες. Μια κοινή δημόσια προέλευση μπορεί ακόμη να χρησιμεύσει ως περιορισμός δικτύου, αλλά δεν υποκαθιστά την αυθεντικοποίηση του χρήστη ή της συσκευής.

Κρατήστε τα στοιχεία χαρακτηρισμένα: παρατηρούμενη προέλευση, πιστοποιημένος λογαριασμός, χρονισμός και το υπό εξέταση συμπέρασμα. Μην μεταφράζετε το «εδώ δεν φαίνεται εσωτερική προέλευση» ως «καμία απόδοση δεν είναι δυνατή πουθενά». Η ετικέτα έχει σημασία όταν κάποιος που δεν ήταν μέρος της έρευνας διαβάσει το αρχείο μήνες αργότερα.

Καταγράψτε την ημερομηνία της παρατήρησης και το σύστημα που την παρήγαγε. Ένα απόσπασμα αρχείου χωρίς απόδοση είναι δύσκολο να υπερασπιστεί αργότερα.