Átjáró vagy továbbított ügyfél? A forrás cím olvasása

A webszerver egy címet naplóz, és mindenki azt feltételezi, hogy az az átjáró saját folyamatához tartozik. Tartozhat egy továbbított ügyfélhez, akinek a privát címe eltűnt a fordítás lépésében. A cél a látható hálózati forrást látja, és semmi mást. Ez határállítás, nem annak állítása, hogy az eredet soha nem állapítható meg.

Mit lát valójában a cél

Vegyünk egy ügyfelet a 10.20.0.7 címen, egy átjárót, amelynek külső címe 198.51.100.10, és egy célt az interneten. Ha az átjáró lefordítja az ügyfél forrását, a cél socketje 198.51.100.10-et naplóz. A privát cím eltűnik a csomagból, és a cél nem tudja visszaolvasni abból a fejlécből. Ezek a számok szemléltetőek, nem a hálózatáról készült rögzítés.

A megfigyelés továbbra is hasznos: azonosítja azt a hálózati forrást, amelyet a célnak engedélyeznie vagy blokkolnia kell. Egyszerűen nem azonosítja a mögötte álló személyt vagy folyamatot. A cél üzemeltetője számára ez a különbség dönti el, hogy egy blokk hálózati döntés-e vagy fiókdöntés.

A fordítás állapota nem látható a cél számára

Az átjáró tárolja a lefordított kapcsolat és az eredeti ügyfél közötti leképezést, és pontosan ez az állapot hiányzik a célból. a NAT hagyományos leírása elválasztja a fordítási rekordot a később látható fejlécektől. Az egyik oldal olvasása nem adja meg a másikat.

A különböző tervek különböző bizonyítékokat adnak. A megőrzött forráscímekkel rendelkező irányított forgalom az ügyfél valódi címét mutatja, míg az alkalmazásproxy megszünteti a kapcsolatot és újat hoz létre. A megőrzött forrású útvonal azt is megköveteli, hogy az ügyfél címe a cél felől visszairányítható legyen, amit nem minden telepítés biztosít. Kérdezze meg, melyik terv van telepítve, mielőtt értelmez egy naplósort.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

A TTL és az ujjlenyomatok nyomok, nem bizonyítékok

Az IPv4 TTL értéke a küldő által választott kezdőértéktől és a csomag által megtett ugrások számától függ. Mindkét tény nélkül egy érték nem bizonyíthatja, hogy VPN-ugrás történt. Egy ismert további irányított ugrás sem képes megkülönböztetni egy LAN-útválasztót, egy alagútútvonalat vagy egy másik továbbítási elrendezést. Kezelje a TTL-különbséget kérdésként, ne következtetésként.

Más jelek ugyanígy viselkednek. A User-Agent fejlécet beállíthatja az alkalmazás, és az időbeli hasonlóság megosztott infrastruktúrát tükrözhet megosztott személy helyett. Több felhasználó osztozhat egy kimeneten, és egy felhasználó válthat útvonalat a munkamenetek között. Együtt gyűjtve több gyenge jel indokolhatja az átjáró rekordjainak közelebbi vizsgálatát, de halmozódással nem válnak erős bizonyítékká.

Identitás alapján engedélyezzen, ne cím alapján

Ha a célnak el kell különítenie az átjáró adminisztrációját a távoli felhasználói tevékenységtől, adjon ezeknek a szerepeknek külön hitelesített identitásokat és engedélyezett műveleteket. A megosztott nyilvános forrás továbbra is szolgálhat hálózati korlátozásként, de nem helyettesíti a felhasználó vagy az eszköz hitelesítését.

Tartsa a bizonyítékokat címkézve: a megfigyelt forrás, a hitelesített fiók, az időzítés és a vizsgált következtetés. Ne fordítsa az „itt nem látható belső forrás” kifejezést úgy, hogy „sehhol nem lehetséges attribúció”. A címke akkor számít, amikor hónapokkal később olyan valaki olvassa a rekordot, aki nem vett részt a vizsgálatban.

Rögzítse a megfigyelés dátumát és azt a rendszert, amely előállította. Az attribúció nélküli naplórészletet később nehéz megvédeni.