Gateway of trochstjoerde klant? It boarneadres lêze

De webserver registrearret ien adres, en elkenien giet derfan út dat it by it proses fan 'e gateway sels heart. It kin by in trochstjoerde klant hearre waans privee-adres by de oersetting ferdwûn is. De bestimming sjocht de sichtbere netwerkboarne en neat mear. Dat is in grinsoantriding, gjin bewearing dat de oarsprong nea fêststeld wurde kin.

Wat de bestimming feitlik sjocht

Nim in klant op 10.20.0.7, in gateway mei bûtenadres 198.51.100.10, en in bestimming op it ynternet. As de gateway de boarne fan 'e klant oerset, registrearret de socket fan 'e bestimming 198.51.100.10. It privee-adres is út it pakket ferdwûn, en de bestimming kin it net weromlêze út dy kop. Dy getallen binne yllustratyf, gjin opname út jo netwurk.

De waarnimming is noch altyd nuttich: it identifisearret de netwerkboarne dy't de bestimming tastean of blokkearje moat. It identifisearret allinnich net de persoan of it proses der efter. Foar de operator fan 'e bestimming beslút dat ûnderskied oft in blokkade in netwurkbeslút of in akkountbeslút is.

Oersettingstastân is net sichtber foar de bestimming

De gateway hâldt de mapping tusken de oersette ferbining en de oarspronklike klant, en krekt dy tastân mist de bestimming. tradisjonele NAT-beskriuwing skiedt it oersettingsregister fan 'e koppen dy't dêrnei sichtber binne. Ien kant lêze jout jo de oare net.

Ferskillende ûntwerpen leverje ferskillende bewiis. Rûtearre ferkear mei bewarre boarneadressen lit it echte adres fan 'e klant sjen, wylst in applikaasje-proxy de ferbining beëiniget en in nije makket. In rûte mei bewarre boarne freget ek dat it adres fan 'e klant fan 'e bestimming ôf werom te rûtearjen is, wat net elke útrôl biedt. Freegje hokker ûntwerp útrôle is foardat jo in logrigel ynterpretearje.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL en fingerôfdrukken binne oanwizings, gjin bewiis

TTL yn IPv4 hinget ôf fan 'e begjinwearde dy't de ôfstjoerder kiest en fan it oantal hops dat it pakket krúst hat. Sûnder beide feiten kin in wearde net bewize dat in VPN-hop bard is. In bekend ekstra rûtearre hop slagget der ek net yn om in LAN-router, in tunnelpaad of in oare trochstjoerregeling te ûnderskieden. Behandelje in TTL-ferskil as in fraach, net as in konklúzje.

Oare sinjalen dogge itselde. In User-Agent-kop kin troch de applikaasje set wurde, en tiidsoerienkomst kin dielde ynfrastruktuer wjerspegelje ynstee fan in dielde persoan. Ferskate brûkers kinne ien útgong diele, en ien brûker kin tusken sesjes fan paad feroarje. Gear brocht kinne ferskate swakke sinjalen in neier each op 'e registers fan in gateway rjochtfeardigje, mar se wurde net sterke bewiis troch op te heapjen.

Autorisearje op identiteit, net op adres

As de bestimming gateway-administraasje fan aktiviteit fan ôfstâne brûkers skiede moat, jou dy rollen dan aparte autentisearre identiteiten en tastiene operaasjes. In dielde iepenbiere boarne kin noch as netwerkbeheining tsjinje, mar it ferfangt de autentikaasje fan 'e brûker of it apparaat net.

Hâld it bewiis labeld: waarnommen boarne, autentisearre akkount, tiidstip en de konklúzje dy't beoardiele wurdt. Fertaal «hjir is gjin ynterne boarne sichtber» net as «nearne is atribúsje mooglik». It label is fan belang as immen dy't net by it ûndersyk belutsen wie, it register moannen letter lêst.

Registrearje de datum fan 'e waarnimming en it systeem dat it makke hat. In net taskreaun loginêfprint is letter dreech te ferdigenjen.