Enirejo aŭ plusendita kliento? Legi la fontan adreson

La retservilo registras unu adreson, kaj ĉiuj supozas, ke ĝi apartenas al la propra procezo de la enirejo. Ĝi povas aparteni al plusendita kliento, kies privata adreso malaperis dum la traduka paŝo. La celo vidas la videblan retan fonton kaj nenion pli. Tio estas aserto pri limo, ne aserto, ke la origino neniam povas esti establita.

Kion la celo efektive vidas

Prenu klienton ĉe 10.20.0.7, enirejon kies ekstera adreso estas 198.51.100.10, kaj celon en la interreto. Se la enirejo tradukas la fonton de la kliento, la ingo de la celo registras 198.51.100.10. La privata adreso malaperis el la paketo, kaj la celo ne povas relegi ĝin el tiu kaplinio. Tiuj nombroj estas ilustraj, ne kaptaĵo el via reto.

La observo restas utila: ĝi identigas la retan fonton, kiun la celo devas permesi aŭ bloki. Ĝi simple ne identigas la personon aŭ la procezon malantaŭ ĝi. Por la funkciigisto de la celo, tiu distingo decidas, ĉu blokado estas reta decido aŭ konta decido.

La traduka stato ne videblas al la celo

La enirejo konservas la mapadon inter la tradukita konekto kaj la originala kliento, kaj ĝuste tiu stato mankas al la celo. tradicia priskribo de NAT apartigas la tradukan rikordon de la kaplinioj videblaj poste. Legi unu flankon ne donas al vi la alian.

Diferencaj dezajnoj produktas diferencajn pruvojn. Enkursigita trafiko kun konservitaj fontaj adresoj montras la veran adreson de la kliento, dum aplikada prokura servilo finas la konekton kaj kreas novan. Vojo kun konservita fonto ankaŭ postulas, ke la adreso de la kliento estu enkursigebla reen de la celo, kion ne ĉiu deplojo provizas. Demandu, kiu dezajno estas deplojita, antaŭ ol interpreti loglinion.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL kaj fingrospuroj estas indicoj, ne pruvoj

TTL en IPv4 dependas de la komenca valoro elektita de la sendanto kaj de la nombro de saltoj, kiujn la paketo trapasis. Sen ambaŭ faktoj, valoro ne povas pruvi, ke okazis VPN-salto. Konata plia enkursigita salto ankaŭ malsukcesas distingi LAN-enkursigilon, tunelan vojon aŭ alian plusendan aranĝon. Traktu TTL-diferencon kiel demandon, ne kiel konkludon.

Aliaj signaloj kondutas same. Kaplinian User-Agent povas starigi la aplikaĵo, kaj tempa simileco povas reflekti komunan infrastrukturon anstataŭ komunan personon. Pluraj uzantoj povas dividi unu eliron, kaj unu uzanto povas ŝanĝi vojojn inter sesioj. Kolektite, pluraj malfortaj signaloj povas pravigi pli proksiman rigardon al la rikordoj de enirejo, sed ili ne fariĝas fortaj pruvoj per amasiĝo.

Rajtigu laŭ identeco, ne laŭ adreso

Se la celo devas apartigi la administradon de la enirejo disde la agado de malproksimaj uzantoj, donu al tiuj roloj apartajn aŭtentikigitajn identecojn kaj permesitajn operaciojn. Komuna publika fonto ankoraŭ povas servi kiel reta limigo, sed ĝi ne anstataŭas la aŭtentikigon de la uzanto aŭ de la aparato.

Tenu la pruvojn etikeditaj: observita fonto, aŭtentikigita konto, tempo kaj la pripensata konkludo. Ne traduku «ĉi tie videblas neniu interna fonto» kiel «nenie eblas atribuo». La etikedo gravas, kiam iu, kiu ne partoprenis la esploron, legas la rikordon monatojn poste.

Registru la daton de la observo kaj la sistemon, kiu produktis ĝin. Senatribua eltiraĵo de logregistro estas malfacile defendebla poste.