Gerbang atau klien yang diteruskan? Membaca alamat sumber

Server web mencatat satu alamat, dan semua orang menganggapnya milik proses gerbang itu sendiri. Alamat itu bisa milik klien yang diteruskan yang alamat privatnya hilang pada langkah terjemahan. Tujuan melihat sumber jaringan yang terlihat dan tidak lebih. Ini pernyataan batas, bukan klaim bahwa asal-usul tidak pernah bisa ditetapkan.

Apa yang sebenarnya dilihat tujuan

Ambil klien di 10.20.0.7, gerbang yang alamat luarnya 198.51.100.10, dan tujuan di internet. Jika gerbang menerjemahkan sumber klien, soket tujuan mencatat 198.51.100.10. Alamat privat hilang dari paket, dan tujuan tidak dapat membacanya kembali dari header itu. Angka-angka itu ilustratif, bukan tangkapan dari jaringan Anda.

Pengamatan tetap berguna: pengamatan itu mengidentifikasi sumber jaringan yang harus diizinkan atau diblokir oleh tujuan. Pengamatan itu tidak mengidentifikasi orang atau proses di baliknya. Bagi operator tujuan, perbedaan itu menentukan apakah pemblokiran adalah keputusan jaringan atau keputusan akun.

Status terjemahan tidak terlihat oleh tujuan

Gerbang menyimpan pemetaan antara koneksi yang diterjemahkan dan klien asli, dan status itulah yang tidak dimiliki tujuan. deskripsi NAT tradisional memisahkan catatan terjemahan dari header yang terlihat sesudahnya. Membaca satu sisi tidak memberi Anda sisi lainnya.

Desain yang berbeda menghasilkan bukti yang berbeda. Lalu lintas terarah dengan alamat sumber yang dipertahankan menunjukkan alamat asli klien, sementara proksi aplikasi mengakhiri koneksi dan membuat yang baru. Rute dengan sumber yang dipertahankan juga menuntut alamat klien dapat dirutekan kembali dari tujuan, yang tidak disediakan setiap penerapan. Tanyakan desain mana yang diterapkan sebelum menafsirkan baris log.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL dan sidik jari adalah petunjuk, bukan bukti

TTL pada IPv4 bergantung pada nilai awal yang dipilih pengirim dan jumlah lompatan yang dilalui paket. Tanpa kedua fakta itu, sebuah nilai tidak dapat membuktikan bahwa lompatan VPN terjadi. Lompatan terarah tambahan yang diketahui juga gagal membedakan router LAN, jalur terowongan, atau pengaturan penerusan lain. Perlakukan perbedaan TTL sebagai pertanyaan, bukan kesimpulan.

Sinyal lain berperilaku sama. Header User-Agent dapat diatur oleh aplikasi, dan kemiripan waktu dapat mencerminkan infrastruktur bersama alih-alih orang yang sama. Beberapa pengguna dapat berbagi satu jalan keluar, dan satu pengguna dapat berganti jalur antar sesi. Jika dikumpulkan bersama, beberapa sinyal lemah dapat membenarkan pemeriksaan lebih dekat pada catatan gerbang, tetapi sinyal itu tidak menjadi bukti kuat karena menumpuk.

Otorisasi berdasarkan identitas, bukan alamat

Jika tujuan harus memisahkan administrasi gerbang dari aktivitas pengguna jarak jauh, berikan peran tersebut identitas terautentikasi yang terpisah dan operasi yang diizinkan. Sumber publik bersama masih dapat berfungsi sebagai pembatasan jaringan, tetapi bukan pengganti autentikasi pengguna atau perangkat.

Pertahankan bukti tetap berlabel: sumber yang diamati, akun terautentikasi, waktu, dan inferensi yang dipertimbangkan. Jangan terjemahkan «tidak ada sumber internal yang terlihat di sini» menjadi «tidak ada atribusi yang mungkin di mana pun». Label itu penting ketika seseorang yang tidak ikut penyelidikan membaca catatan berbulan-bulan kemudian.

Catat tanggal pengamatan dan sistem yang menghasilkannya. Kutipan log tanpa atribusi sulit dipertahankan nanti.