שער או לקוח מועבר? קריאת כתובת המקור

שרת האינטרנט רושם כתובת אחת, וכולם מניחים שהיא שייכת לתהליך של השער עצמו. היא עשויה להיות שייכת ללקוח מועבר שכתובתו הפרטית נעלמה בשלב התרגום. היעד רואה את מקור הרשת הנראה ולא דבר נוסף. זו הצהרת גבול, לא טענה שלא ניתן לקבוע את המקור לעולם.

מה היעד באמת רואה

קחו לקוח בכתובת 10.20.0.7, שער שכתובתו החיצונית 198.51.100.10 ויעד באינטרנט. אם השער מתרגם את מקור הלקוח, הסוקט של היעד רושם 198.51.100.10. הכתובת הפרטית נעלמה מהמנות, והיעד אינו יכול לקרוא אותה בחזרה מאותה כותרת. המספרים האלה להמחשה, לא לכידה מהרשת שלכם.

התצפית עדיין שימושית: היא מזהָה את מקור הרשת שהיעד חייב לאפשר או לחסום. היא פשוט אינה מזהָה את האדם או התהליך שמאחוריו. עבור מפעיל היעד, ההבחנה הזו קובעת אם חסימה היא החלטת רשת או החלטת חשבון.

מצב התרגום אינו נראה ליעד

השער שומר על המיפוי בין החיבור המתורגם ללקוח המקורי, וזה בדיוק המצב שחסר ליעד. התיאור המסורתי של NAT מפריד את רשומת התרגום מהכותרות הנראות לאחר מכן. קריאת צד אחד אינה נותנת לכם את האחר.

עיצובים שונים מייצרים ראיות שונות. תעבורה מנותבת עם כתובות מקור משומרות מציגה את כתובתו האמיתית של הלקוח, בעוד פרוקסי יישום מסיים את החיבור ויוצר חדש. מסלול עם מקור משומר דורש גם שכתובת הלקוח תהיה ניתנת לניתוב חזרה מהיעד, מה שלא כל פריסה מספקת. שאלו איזה עיצוב פרוס לפני שאתם מפרשים שורת יומן.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL וטביעות אצבע הם רמזים, לא הוכחות

ה-TTL ב-IPv4 תלוי בערך ההתחלתי שהשולח בוחר ובמספר הקפיצות שהמנות עבר. בלי שתי העובדות הללו, ערך אינו יכול להוכיח שהתרחשה קפיצת VPN. קפיצה מנותבת נוספת וידועה גם אינה מבחינה בין נתב LAN, נתיב מנהרה או סידור העברה אחר. התייחסו להפרש TTL כאל שאלה, לא כאל מסקנה.

אותות אחרים מתנהגים באותו אופן. כותרת User-Agent יכולה להיקבע על ידי היישום, ודמיון בתזמון יכול לשקף תשתית משותפת ולא אדם משותף. מספר משתמשים יכולים לחלוק יציאה אחת, ומשתמש אחד יכול להחליף מסלולים בין הפעלות. כשמאספים אותם יחד, כמה אותות חלשים עשויים להצדיק מבט קרוב יותר ברשומות של שער, אך הם אינם הופכים לראיות חזקות על ידי הצטברות.

הרשאה לפי זהות, לא לפי כתובת

אם היעד חייב להפריד בין ניהול השער לפעילות של משתמשים מרוחקים, תנו לתפקידים האלה זהויות מאומתות נפרדות ופעולות מותרות. מקור ציבורי משותף עדיין יכול לשמש כמגבלה ברשת, אך הוא אינו מחליף אימות של המשתמש או של ההתקן.

שמרו את הראיות מתויגות: המקור הנצפה, החשבון המאומת, התזמון וההסקה הנשקלת. אל תתרגמו «לא נראה כאן מקור פנימי» כ«לא ניתן לייחס בשום מקום». התווית חשובה כשמישהו שלא היה חלק מהחקירה קורא את הרשומה חודשים אחר כך.

רשמו את תאריך התצפית ואת המערכת שהפיקה אותה. קטע יומן ללא ייחוס קשה להגן עליו מאוחר יותר.