Gateway oder weidergeleet Client? D'Quelladress liesen

De Webserver loggt eng Adress, an all mierken un, si gehéier zum Prozess vum Gateway selwer. Si ka zu engem weidergeleete Client gehéieren, deem seng privat Adress am Iwwersetzungsschrack verschwonnen ass. D'Destinatioun gesäit déi sichtbar Netzwierkquell an näischt méi. Dat ass eng Grenzausso, net d'Behaaptung, den Urspronk kéint ni festgestallt ginn.

Wat d'Destinatioun tatsächlech gesäit

Hëlt ee Client op 10.20.0.7, e Gateway mat der baussenzeger Adress 198.51.100.10, an eng Destinatioun um Internet. Wann de Gateway d'Quell vum Client iwwersetzt, registréiert de Socket vun der Destinatioun 198.51.100.10. Déi privat Adress ass aus dem Paket fort, an d'Destinatioun kann se net aus deem Header zréckliesen. Déi Zuelen sinn illustrativ, net eng Opnam aus Ärem Netzwierk.

D'Beobachtung ass nach ëmmer nëtzlech: si identifizéiert d'Netzwierkquell, déi d'Destinatioun muss erlaben oder blockéieren. Si identifizéiert just net d'Persoun oder de Prozess hannendrun. Fir den Operateur vun der Destinatioun entscheet deen Ënnerscheed, ob eng Blockéierung eng Netzwierkentscheedung oder eng Kontentscheedung ass.

Den Iwwersetzungszoustand ass net sichtbar fir d'Destinatioun

De Gateway hält d'Zouuerdnung tëschent der iwwersater Verbindung an dem urspréngleche Client, an genau deen Zoustand feelt der Destinatioun. traditionell NAT-Beschreiwung trennt den Iwwersetzungsrekord vun den Headeren, déi duerno sichtbar sinn. Eng Säit liesen gëtt Iech net déi aner.

Verschidden Designe liwwere verschidden Beweiser. Gerouteten Trafic mat erhalene Quelladressen weist déi richteg Adress vum Client, während en Applikatiounsproxy d'Verbindung ofschléisst an eng nei schaaft. Eng Route mat erhalener Quell erfuerdert och, datt d'Adress vum Client vun der Destinatioun aus zréck routbar ass, wat net all Déploiement ubitt. Fro wéi en Design deployéiert ass, ier Dir eng Loglinn interpretéiert.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL a Fangerofdréck sinn Hiwäiser, net Beweiser

Den TTL an IPv4 hänkt vum Startwäert of, deen den Ofsender wielt, an vun der Zuel vu Spréng, déi de Paket gemaach huet. Ouni déi zwou Tatsaachen kann en Wäert net beweisen, datt e VPN-Sprong geschitt ass. En bekannten zousätzleche gerouteten Sprong kann och net tëschent engem LAN-Router, engem Tunnelwee oder enger anerer Weiderleedungsanlag ënnerscheeden. Behandelt en TTL-Ënnerscheed als Fro, net als Konklusioun.

Aner Signaler behuelen sech gläich. En User-Agent-Header kann duerch d'Applikatioun gesat ginn, an d'Ähnlechkeet vun der Zäit kann gemeinsam Infrastruktur reflektéieren amplaz eng gemeinsam Persoun. Méi Benotzer kënnen eng Ausgang deelen, an ee Benotzer kann tëschent Sessiounen de Wee wiesselen. Zesumme gesammelt kënnen e puer schwaach Signaler en neiere Bléck op d'Rejistern vun engem Gateway justifiéieren, awer duerch Accumulation ginn se net staark Beweiser.

Autoriséiert no Identitéit, net no Adress

Wann d'Destinatioun d'Gateway-Administratioun vun der Aktivitéit vun entfernte Benotzer trenne muss, gitt deene Rollen getrennt authentifizéiert Identitéiten an erlaabt Operatiounen. Eng gedeelt ëffentlech Quell kann nach als Netzwierkrestriktioun déngen, awer si ersetzt net d'Authentifikatioun vum Benotzer oder vum Apparat.

Hält d'Beweiser markéiert: observéiert Quell, authentifizéierte Kont, Zäitpunkt an d'Inferenz déi ënner Iwwerleeung steet. Iwwersetzt net «hei ass keng intern Quell ze gesinn» als «néierens ass eng Attributioun méiglech». D'Markéierung zielt, wann een, deen net Deel vun der Enquête war, de Rekord Méint méi spéit liest.

Notéiert den Datum vun der Beobachtung an de System, deen se produzéiert huet. En net zougeschriwwenen Logauszuch ass méi spéit schwéier ze verteidegen.