Դարպաս, թե՞ փոխանցված հաճախորդ. ինչպես կարդալ աղբյուրի հասցեն

Վեբ սերվերը գրանցում է մեկ հասցե, և բոլորը ենթադրում են, որ այն պատկանում է հենց դարպասի գործընթացին։ Այն կարող է պատկանել փոխանցված հաճախորդի, ում մասնավոր հասցեն անհետացել է թարգմանության քայլին։ Նպատակակետը տեսնում է տեսանելի ցանցային աղբյուրը և ոչ ավելին։ Սա սահմանի մասին պնդում է, ոչ թե այն պնդումը, որ ծագումը երբեք հնարավոր չէ հաստատել։

Ինչ է իրականում տեսնում նպատակակետը

Վերցրեք հաճախորդ 10.20.0.7 հասցեում, դարպաս, որի արտաքին հասցեն 198.51.100.10 է, և նպատակակետ ինտերնետում։ Եթե դարպասը թարգմանում է հաճախորդի աղբյուրը, նպատակակետի բնիկը գրանցում է 198.51.100.10։ Մասնավոր հասցեն անհետանում է փաթեթից, և նպատակակետը չի կարող այն հետ կարդալ այդ վերնագրից։ Այս թվերը պատկերավոր են, ոչ թե ձեր ցանցից արված գրառում։

Դիտարկումը դեռ օգտակար է, քանի որ այն նույնականացնում է ցանցային աղբյուրը, որը նպատակակետը պետք է թույլատրի կամ արգելափակի։ Այն պարզապես չի նույնականացնում դրա հետևում գտնվող մարդուն կամ գործընթացը։ Նպատակակետի օպերատորի համար այդ տարբերությունը որոշում է՝ արգելափակումը ցանցային որոշում է, թե հաշվի որոշում։

Թարգմանության վիճակը տեսանելի չէ նպատակակետին

Դարպասը պահպանում է թարգմանված միացման և սկզբնական հաճախորդի միջև համապատասխանությունը, և հենց այդ վիճակն է, որ բացակայում է նպատակակետին։ NAT-ի ավանդական նկարագրությունը նկարագրությունը առանձնացնում է թարգմանության գրառումը հետագայում տեսանելի վերնագրերից։ Մի կողմը կարդալը չի տալիս մյուսը։

Տարբեր նախագծեր տալիս են տարբեր ապացույցներ։ Պահպանված աղբյուրի հասցեներով երթուղավորված տրաֆիկը ցույց է տալիս հաճախորդի իրական հասցեն, մինչդեռ հավելվածային պրոքսին ավարտում է միացումը և ստեղծում նորը։ Պահպանված աղբյուրով երթուղին նաև պահանջում է, որ հաճախորդի հասցեն հնարավոր լինի ետ երթուղավորել նպատակակետից, ինչը ոչ ամեն տեղակայում է ապահովում։ Հարցրեք, թե որ նախագիծն է տեղակայված, նախքան մատյանների տողը մեկնաբանելը։

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL-ն և մատնահետքերը հուշում են, ոչ ապացույց

IPv4-ում TTL-ը կախված է ուղարկողի ընտրած սկզբնական արժեքից և փաթեթի անցած թռիչքների քանակից։ Առանց երկու փաստերի, արժեքը չի կարող ապացուցել, որ VPN թռիչք է տեղի ունեցել։ Հայտնի լրացուցիչ երթուղավորված թռիչքը նույնպես չի տարբերում LAN երթուղիչը, թունելի ուղին կամ փոխանցման այլ կարգավորում։ TTL-ի տարբերությունը դիտարկեք որպես հարց, ոչ որպես եզրակացություն։

Այլ ազդանշանները վարվում են նույն կերպ։ User-Agent վերնագիրը կարող է սահմանել հավելվածը, և ժամանակային նմանությունը կարող է արտացոլել ընդհանուր ենթակառուցվածք, ոչ ընդհանուր մարդ։ Մի քանի օգտատեր կարող են կիսել մեկ ելք, և մեկ օգտատեր կարող է փոխել ուղիները նստաշրջանների միջև։ Միասին հավաքված, մի քանի թույլ ազդանշան կարող են արդարացնել դարպասի գրառումներին ավելի ուշադիր նայելը, բայց կուտակվելով դրանք չեն դառնում ուժեղ ապացույց։

Լիազորեք ըստ ինքնության, ոչ ըստ հասցեի

Եթե նպատակակետը պետք է առանձնացնի դարպասի կառավարումը հեռավոր օգտատիրոջ գործունեությունից, տվեք այդ դերերին առանձին վավերացված ինքնություններ և թույլատրված գործողություններ։ Ընդհանուր հանրային աղբյուրը դեռ կարող է ծառայել որպես ցանցային սահմանափակում, բայց այն չի փոխարինում օգտատիրոջ կամ սարքի վավերացմանը։

Պահեք ապացույցները պիտակավորված՝ դիտարկված աղբյուրը, վավերացված հաշիվը, ժամանակը և քննարկվող եզրակացությունը։ Մի թարգմանեք «այստեղ ներքին աղբյուր չի երևում»-ը որպես «ոչ մի տեղ վերագրում հնարավոր չէ»։ Պիտակը կարևոր է, երբ ամիսներ անց գրառումը կարդում է մեկը, ով հետաքննության մաս չէր։

Գրանցեք դիտարկման ամսաթիվը և այն համակարգը, որը ստեղծել է այն։ Առանց վերագրման մատյանի հատվածը դժվար է պաշտպանել ավելի ուշ։