Yhdyskäytävä vai välitetty asiakas? Lähdeosoitteen lukeminen

Web-palvelin kirjaa yhden osoitteen, ja kaikki olettavat sen kuuluvan yhdyskäytävän omaan prosessiin. Se voi kuulua välitetylle asiakkaalle, jonka yksityinen osoite katosi käännösvaiheessa. Kohde näkee näkyvän verkkolähteen eikä mitään muuta. Se on rajankäyntiä koskeva väite, ei väite siitä, ettei alkuperää voisi koskaan selvittää.

Mitä kohde todella näkee

Otetaan asiakas osoitteessa 10.20.0.7, yhdyskäytävä, jonka ulkoinen osoite on 198.51.100.10, ja kohde internetissä. Jos yhdyskäytävä kääntää asiakkaan lähteen, kohteen socket kirjaa 198.51.100.10. Yksityinen osoite on kadonnut paketista, eikä kohde voi lukea sitä takaisin kyseisestä otsakkeesta. Nuo luvut ovat havainnollisia, eivät kaappaus verkostasi.

Havainto on silti hyödyllinen: se tunnistaa verkkolähteen, jonka kohde joko sallii tai estää. Se ei vain tunnista henkilöä tai prosessia sen takana. Kohteen operaattorille tämä ero ratkaisee, onko esto verkkoa koskeva päätös vai tiliä koskeva päätös.

Käännöksen tila ei ole kohteen nähtävissä

Yhdyskäytävä pitää yllä käännetyn yhteyden ja alkuperäisen asiakkaan välistä vastaavuutta, ja juuri tätä tilaa kohteelta puuttuu. perinteinen NAT-kuvaus erottaa käännöstietueen myöhemmin näkyvistä otsakkeista. Toisen puolen lukeminen ei anna sinulle toista.

Erilaiset ratkaisut tuottavat erilaisia todisteita. Reititetty liikenne, jossa lähdeosoitteet säilytetään, näyttää asiakkaan todellisen osoitteen, kun taas sovellusvälityspalvelin päättää yhteyden ja luo uuden. Säilytetyn lähteen reitti edellyttää myös, että asiakkaan osoite on reititettävissä takaisin kohteesta, mitä kaikki käyttöönotot eivät tarjoa. Kysy, mikä ratkaisu on käytössä, ennen kuin tulkitset lokiriviä.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL ja sormenjäljet ovat vihjeitä, eivät todisteita

IPv4:n TTL riippuu lähettäjän valitsemasta alkuarvosta ja paketin kulkemien hyppyjen määrästä. Ilman molempia tietoja arvo ei voi todistaa, että VPN-hyppy tapahtui. Tunnettu ylimääräinen reititetty hyppy ei sekään erota LAN-reititintä, tunnelireittiä tai muuta välitysjärjestelyä. Kohtele TTL-eroa kysymyksenä, älä johtopäätöksenä.

Muut signaalit käyttäytyvät samoin. Sovellus voi asettaa User-Agent-otsakkeen, ja ajan samankaltaisuus voi heijastaa jaettua infrastruktuuria jaetun henkilön sijaan. Useat käyttäjät voivat jakaa yhden lähdön, ja yksi käyttäjä voi vaihtaa reittejä istuntojen välillä. Yhdessä koottuina useat heikot signaalit voivat oikeuttaa tarkemman katseen yhdyskäytävän tietueisiin, mutta ne eivät muutu vahvoiksi todisteiksi kerääntymällä.

Valtuuta identiteetin, älä osoitteen perusteella

Jos kohteen on erotettava yhdyskäytävän ylläpito etäkäyttäjän toiminnasta, anna näille rooleille erilliset todennetut identiteetit ja sallitut toiminnot. Jaettu julkinen lähde voi yhä toimia verkkorajoituksena, mutta se ei korvaa käyttäjän tai laitteen todennusta.

Pidä todisteet merkittyinä: havaittu lähde, todennettu tili, ajoitus ja harkittava päätelmä. Älä käännä ilmaisua «täällä ei näy sisäistä lähdettä» muotoon «missään ei ole mahdollista kohdentaa». Merkintä on tärkeä, kun joku, joka ei ollut osa tutkintaa, lukee tietuetta kuukausia myöhemmin.

Kirjaa havainnon päivämäärä ja järjestelmä, joka sen tuotti. Kohdentamaton lokin ote on vaikea puolustaa myöhemmin.