Hlið eða framsendur biðlari? Að lesa upprunafangið

Vefþjónninn skráir eitt fang, og allir gera ráð fyrir að það tilheyri ferli hliðsins sjálfs. Það gæti tilheyrt framsendum biðlara sem einkafang hans hvarf í þýðingarskrefinu. Áfangastaðurinn sér sýnilega netupprunann og ekkert meira. Þetta er fullyrðing um mörk, ekki fullyrðing um að aldrei sé hægt að staðfesta upprunann.

Hvað áfangastaðurinn sér í raun

Takið biðlara á 10.20.0.7, hlið með ytra fangið 198.51.100.10 og áfangastað á internetinu. Ef hliðið þýðir uppruna biðlarans skráir samband áfangastaðarins 198.51.100.10. Einkafangið er horfið úr pakkanum, og áfangastaðurinn getur ekki lesið það aftur úr þeirri haus. Þessar tölur eru skýringardæmi, ekki upptaka úr netinu þínu.

Athugunin er samt gagnleg: hún auðkennir netupprunann sem áfangastaðurinn verður að leyfa eða loka á. Hún auðkennir bara ekki manneskjuna eða ferlið að baki. Fyrir rekstraraðila áfangastaðarins ræður þessi greinarmunur hvort lokun er netákvörðun eða reikningsákvörðun.

Þýðingarstaðan er ekki sýnileg áfangastaðnum

Hliðið heldur vörpuninni milli þýddu tengingarinnar og upprunalega biðlarans, og einmitt þessi staða vantar áfangastaðinn. hefðbundin NAT-lýsing aðskilur þýðingarskrána frá hausunum sem sjást eftir á. Að lesa aðra hliðina gefur þér ekki hina.

Ólíkar hönnunarleiðir gefa ólíkar sannanir. Beindu umferð með varðveittum upprunaföngum sýnir raunverulegt fang biðlarans, en forritsmilliþjónn lýkur tengingunni og býr til nýja. Leið með varðveittum uppruna krefst þess líka að hægt sé að beina fangi biðlarans til baka frá áfangastaðnum, sem ekki allar uppsetningar bjóða. Spurðu hvaða hönnun er uppsett áður en þú túlkar línu í annál.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL og fingraför eru vísbendingar, ekki sönnun

TTL í IPv4 fer eftir upphafsgildinu sem sendandinn velur og fjölda hoppa sem pakkinn fór. Án beggja staðreynda getur gildi ekki sannað að VPN-hopp hafi átt sér stað. Þekkt auka beind hopp nægir heldur ekki til að greina LAN-beini, gönguleið eða aðra framsendingu. Meðhöndlið TTL-mismun sem spurningu, ekki ályktun.

Önnur merki haga sér eins. User-Agent-haus getur verið stilltur af forritinu, og líkt tímasetning getur endurspeglað sameiginlega innviði frekar en sameiginlega manneskju. Nokkrir notendur geta deilt einni útgangi, og einn notandi getur skipt um leiðir milli lota. Saman lögð geta nokkur veik merki réttlætt nánari skoðun á skrám hliðs, en þau verða ekki sterk sönnun með uppsöfnun.

Heimilið eftir auðkenni, ekki eftir fangi

Ef áfangastaðurinn verður að aðskilja stjórnun hliðsins frá virkni fjartengdra notenda, gefið þessum hlutverkum aðskilin sannreynd auðkenni og leyfðar aðgerðir. Sameiginlegur opinber uppruni getur enn þjónað sem nettakmörkun, en hann kemur ekki í stað sannvottunar notandans eða tækisins.

Haldið sönnununum merktum: athugaður uppruni, sannreyndur reikningur, tímasetning og ályktunin sem er til skoðunar. Þýðið ekki «engin innri uppruni sýnilegur hér» sem «engin tilskrif möguleg hvergi». Merkið skiptir máli þegar einhver sem var ekki hluti rannsóknarinnar les skrána mánuðum síðar.

Skráið dagsetningu athugunarinnar og kerfið sem framleiddi hana. Annálsbrot án tilskrifa er erfitt að verja síðar.