دروازه یا مشتری فورواردشده؟ خواندن نشانی مبدأ

سرور وب یک نشانی ثبت می‌کند و همه فرض می‌کنند که به فرایند خود دروازه تعلق دارد. ممکن است به مشتری فورواردشده‌ای تعلق داشته باشد که نشانی خصوصی‌اش در مرحله ترجمه ناپدید شده است. مقصد مبدأ شبکه مرئی را می‌بیند و نه چیزی بیشتر. این یک گزاره مرزی است، نه ادعایی که مبدأ هرگز قابل اثبات نیست.

آنچه مقصد واقعاً می‌بیند

مشتری‌ای در 10.20.0.7، دروازه‌ای با نشانی بیرونی 198.51.100.10 و مقصدی در اینترنت را در نظر بگیرید. اگر دروازه مبدأ مشتری را ترجمه کند، سوکت مقصد 198.51.100.10 را ثبت می‌کند. نشانی خصوصی از بسته حذف می‌شود و مقصد نمی‌تواند آن را از آن سرآیند دوباره بخواند. این اعداد نمونه‌اند، نه ضبطی از شبکه شما.

مشاهده همچنان مفید است: مبدأ شبکه‌ای را مشخص می‌کند که مقصد باید آن را مجاز یا مسدود کند. فقط شخص یا فرایند پشت آن را مشخص نمی‌کند. برای گرداننده مقصد، همین تمایز تعیین می‌کند که مسدودسازی یک تصمیم شبکه است یا یک تصمیم حساب.

وضعیت ترجمه برای مقصد مرئی نیست

دروازه نگاشت میان اتصال ترجمه‌شده و مشتری اصلی را نگه می‌دارد و مقصد دقیقاً همین وضعیت را ندارد. توصیف سنتی NAT سابقه ترجمه را از سرآیندهای مرئی بعدی جدا می‌کند. خواندن یک طرف طرف دیگر را به شما نمی‌دهد.

طرح‌های مختلف شواهد مختلف تولید می‌کنند. ترافیک مسیریابی‌شده با نشانی‌های مبدأ حفظ‌شده نشانی واقعی مشتری را نشان می‌دهد، در حالی که پروکسی برنامه اتصال را پایان می‌دهد و اتصال جدیدی می‌سازد. مسیر با مبدأ حفظ‌شده همچنین نیاز دارد که نشانی مشتری از سمت مقصد قابل مسیریابی برگشتی باشد، که هر استقراری آن را فراهم نمی‌کند. پیش از تفسیر یک خط گزارش بپرسید کدام طرح مستقر است.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL و اثر انگشت سرنخ‌اند، نه اثبات

مقدار TTL در IPv4 به مقدار اولیه‌ای که فرستنده انتخاب می‌کند و به تعداد گام‌هایی که بسته طی کرده بستگی دارد. بدون هر دو واقعیت، یک مقدار نمی‌تواند اثبات کند که گام VPN رخ داده است. یک گام مسیریابی‌شده اضافی شناخته‌شده نیز نمی‌تواند میان مسیریاب LAN، مسیر تونل یا ترتیب فوروارد دیگری تمایز بگذارد. با تفاوت TTL مانند یک پرسش رفتار کنید، نه یک نتیجه‌گیری.

سیگنال‌های دیگر نیز همین‌گونه‌اند. سرآیند User-Agent می‌تواند توسط برنامه تنظیم شود و شباهت زمانی می‌تواند زیرساخت مشترک را بازتاب دهد، نه شخص مشترک. چند کاربر می‌توانند یک خروجی را شریک شوند و یک کاربر می‌تواند میان نشست‌ها مسیر را تغییر دهد. در مجموع، چند سیگنال ضعیف می‌توانند نگاه دقیق‌تر به سوابق یک دروازه را توجیه کنند، اما با انباشته شدن به شواهد قوی تبدیل نمی‌شوند.

بر پایه هویت مجوز بدهید، نه نشانی

اگر مقصد باید مدیریت دروازه را از فعالیت کاربر راه دور جدا کند، به این نقش‌ها هویت‌های احرازشده جداگانه و عملیات مجاز بدهید. یک مبدأ عمومی مشترک می‌تواند همچنان به‌عنوان محدودیت شبکه عمل کند، اما جایگزین احراز هویت کاربر یا دستگاه نیست.

شواهد را برچسب‌دار نگه دارید: مبدأ مشاهده‌شده، حساب احرازشده، زمان و استنتاج مورد بررسی. «هیچ مبدأ داخلی در اینجا دیده نمی‌شود» را به «هیچ انتسابی در هیچ کجا ممکن نیست» ترجمه نکنید. برچسب وقتی مهم می‌شود که کسی که بخشی از تحقیق نبوده، ماه‌ها بعد سابقه را بخواند.

تاریخ مشاهده و سامانه‌ای که آن را تولید کرده ثبت کنید. گزیده گزارش بدون انتساب بعداً به‌سختی قابل دفاع است.