Шлюз бе, әлде қайта бағытталған клиент пе? Бастау көзін оқу

Веб-сервер бір мекенжайды жазады, ал бәрі оны шлюздің өз процесіне тиесілі деп ойлайды. Ол аудару кезеңінде жеке мекенжайы жойылған қайта бағытталған клиентке тиесілі болуы мүмкін. Межеленген жер көрінетін желі көзін ғана көреді, одан артық ештеңе жоқ. Бұл шекара туралы мәлімдеме, шығу тегін ешқашан анықтауға болмайды деген мәлімдеме емес.

Межеленген жер шын мәнінде не көреді

10.20.0.7 мекенжайындағы клиентті, сыртқы мекенжайы 198.51.100.10 шлюзді және интернеттегі межеленген жерді алыңыз. Егер шлюз клиенттің көзін аударса, межеленген жердің сокеті 198.51.100.10 жазады. Жеке мекенжай пакеттен жоғалады, ал межеленген жер оны сол тақырыпшадан қайта оқи алмайды. Бұл сандар мысал ретінде келтірілген, сіздің желіңізден алынған жазба емес.

Бақылау әлі де пайдалы: ол межеленген жер рұқсат беруі немесе бұғаттауы тиіс желі көзін анықтайды. Ол тек оның артындағы адамды немесе процесті анықтамайды. Межеленген жер операторы үшін бұл айырмашылық бұғаттаудың желілік шешім бе, әлде есептік шешім бе екенін анықтайды.

Аудару күйі межеленген жерге көрінбейді

Шлюз аударылған байланыс пен бастапқы клиент арасындағы сәйкестікті сақтайды, ал межеленген жерге дәл осы күй жетіспейді. NAT-тің дәстүрлі сипаттамасы аудару жазбасын кейін көрінетін тақырыпшалардан бөледі. Бір жағын оқу екіншісін бермейді.

Әртүрлі жобалар әртүрлі дәлелдер береді. Көзі сақталған мекенжайлармен маршрутталған трафик клиенттің нақты мекенжайын көрсетеді, ал қолданба проксиі қосылымды тоқтатып, жаңасын жасайды. Көзі сақталған маршрут клиент мекенжайының межеленген жерден кері маршрутталуын да талап етеді, оны әр орналастыру ұсына бермейді. Журнал жолын түсіндірер алдында қандай жоба орналастырылғанын сұраңыз.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL мен саусақ іздері — белгі, дәлел емес

IPv4-те TTL жіберуші таңдаған бастапқы мәнге және пакет өткен секірістер санына байланысты. Екі фактісіз мән VPN секірісі болғанын дәлелдей алмайды. Белгілі қосымша маршрутталған секіріс те LAN маршрутизаторын, туннель жолын немесе басқа жіберу құрылымын ажырата алмайды. TTL айырмашылығын қорытынды емес, сұрақ ретінде қараңыз.

Басқа сигналдар да осылай әрекет етеді. User-Agent тақырыпшасын қолданба орнатуы мүмкін, ал уақыт ұқсастығы ортақ адамды емес, ортақ инфрақұрылымды көрсетуі мүмкін. Бірнеше пайдаланушы бір шығысты бөлісе алады, ал бір пайдаланушы сессиялар арасында жолды өзгерте алады. Бірге жиналған бірнеше әлсіз сигнал шлюз жазбаларына мұқият қарауды негіздеуі мүмкін, бірақ жинақталу арқылы олар күшті дәлелге айналмайды.

Мекенжай бойынша емес, сәйкестік бойынша рұқсат беріңіз

Егер межеленген жер шлюз әкімшілендіруін қашықтағы пайдаланушы әрекетінен бөлуі керек болса, бұл рөлдерге жеке аутентификацияланған сәйкестіктер мен рұқсат етілген операциялар беріңіз. Ортақ жария көз желілік шектеу ретінде қызмет ете алады, бірақ ол пайдаланушыны немесе құрылғыны аутентификациялауды алмастырмайды.

Дәлелдерді таңбаланған күйде ұстаңыз: байқалған көз, аутентификацияланған есептік жазба, уақыт және қарастырылып отырған тұжырым. «Мұнда ішкі көз көрінбейді» дегенді «еш жерде телу мүмкін емес» деп аудармаңыз. Айлар өткен соң тергеуге қатыспаған адам жазбаны оқығанда таңба маңызды.

Бақылау күнін және оны жасаған жүйені жазыңыз. Телусіз журнал үзіндісін кейін қорғау қиын.