Atebidea edo birbidalitako bezeroa? Iturburu-helbidea irakurtzen

Web zerbitzariak helbide bat erregistratzen du, eta denek uste dute atebidearen beraren prozesuari dagokiola. Baliteke itzultze-urratsean bere helbide pribatua desagertu zen birbidalitako bezero bati dagokiola. Helmugak sareko iturburu ikusgai bakarra ikusten du, eta ez ezer gehiago. Muga-adierazpena da, ez jatorria inoiz ezin ezar daitekeenik dioen baieztapena.

Helmugak benetan ikusten duena

Har ezazu bezero bat 10.20.0.7 helbidean, kanpoko helbidea 198.51.100.10 duen atebide bat eta helmuga bat interneten. Atebideak bezeroaren iturburua itzultzen badu, helmugako socket-ak 198.51.100.10 erregistratzen du. Helbide pribatua paketetik desagertu da, eta helmugak ezin du berriro irakurri goiburu horretatik. Zenbaki horiek adibide dira, ez zure saretik hartutako harrapaketa bat.

Behaketa oraindik erabilgarria da: helmugak baimendu edo blokeatu behar duen sareko iturburua identifikatzen du. Baina ez du atzean dagoen pertsona edo prozesua identifikatzen. Helmugako operadorearentzat, bereizte horrek erabakitzen du blokeoa sare-erabakia den edo kontu-erabakia den.

Itzultze-egoera ez da helmugarentzat ikusgai

Atebideak itzulitako konexioaren eta jatorrizko bezeroaren arteko mapaketa gordetzen du, eta helmugari falta zaion egoera zehazki hori da. NAT-ren deskribapen tradizionala itzultze-erregistroa geroago ikusgai dauden goiburuekin bereizten du. Alde bat irakurtzeak ez dizu bestea ematen.

Diseinu ezberdinek froga ezberdinak sortzen dituzte. Iturburu-helbideak gordeta dituen trafiko bideratuak bezeroaren benetako helbidea erakusten du, aplikazio-proxy batek konexioa amaitzen duen bitartean eta berri bat sortzen du. Iturburu gordea duen bideak bezeroaren helbidea helmugatik atzera bideragarria izatea ere eskatzen du, eta hori ez du hedapen guztiek eskaintzen. Galdetu zein diseinu dagoen zabalduta log-lerro bat interpretatu aurretik.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL eta hatz-markak aztarnak dira, ez frogak

IPv4-ko TTL igorleak aukeratutako hasierako balioaren eta paketeak zeharkatu dituen jauzi kopuruaren araberakoa da. Bi datu horiek gabe, balio batek ezin du frogatu VPN jauzi bat gertatu denik. Ezagutzen den jauzi bideratu gehigarri batek ere ez du LAN bideratzaile, tunel-bide edo beste birbidaltze-antolamendu bat bereizten. TTL diferentzia galdera bat bezala hartu, ez ondorio bat bezala.

Beste seinaleek gauza bera egiten dute. User-Agent goiburua aplikazioak ezar dezake, eta denboraren antzekotasunak azpiegitura partekatua isla dezake, ez pertsona partekatua. Hainbat erabiltzaile irteera bat parteka dezakete, eta erabiltzaile batek bideak alda ditzake saioen artean. Elkarrekin bilduta, seinale ahul batzuek atebide baten erregistroei begirada hurbilagoa ematea justifika dezakete, baina ez dira froga sendo bihurtzen pilatuta.

Baimendu identitatearen arabera, ez helbidearen arabera

Helmugak atebidearen administrazioa urruneko erabiltzaileen jardueratik bereizi behar badu, eman rol horiei identitate autentifikatu bereiziak eta baimendutako eragiketak. Partekatutako iturburu publiko batek sare-murrizketa gisa balio dezake oraindik, baina ez du erabiltzailea edo gailua autentifikatzea ordezkatzen.

Eduki frogak etiketatuta: behatutako iturburua, autentifikatutako kontua, denbora eta aztertzen ari den inferentzia. Ez itzuli «hemen barne-iturbururik ez da ikusten» «inon ez da inolako egozpenik posible» gisa. Etiketak garrantzia du hilabete batzuk geroago ikerketaren parte ez zen norbaitek erregistroa irakurtzen duenean.

Erregistratu behaketaren data eta hura sortu zuen sistema. Egozpenik gabeko log-zati bat zaila da geroago defendatzen.