Wat REMOTE_ADDR vu PHP dir hannert engem VPN wierklich seet
Dëst ass e Wäert deen däi Webserver geliwwert huet, keng Ufro an den Tunnel. Verfolleg de Wee vun der Ufro, kuck wien se ëmschreiwe kann, a behalt d'Identitéit an der Applikatioun.
Een freet firwat e VPN-Benotzer am Log vun der Applikatioun mat enger Adress erschéngt, déi zum Gateway gehéiert, oder mat enger Adress déi sech no dem Mëttegiessen geännert huet. D'Äntwert fänkt domat un, wat dëse Wäert ass: eng Fächerung, déi de Webserver an d'Ëmfeld vun der Ufro gesat huet. Et ass keng Ufro an den Tunnel, keng Zertifikatsidentitéit, an och keng Verspriechung, datt d'Nummer zu enger eenzeger Persoun gehéiert. Wann ee se als eng vun dësen dräi liest, kritt een selbstsécher Äntwerten déi op verschidde Manéieren falsch sinn.
De Wäert kënnt vum Server, net aus dem Tunnel
PHP kritt d'Ëmfeld vun der Ufro vun deem, wat d'Skript ausgefouert huet. D'PHP-Referenz fir Servervariabelen beschréift dës Fächerungen als vum Webserver geschaaft, mat enger Disponibilitéit déi dovun ofhänkt wéi d'Ufro ukomm ass.
Eng Skript, déi als Kommandozeilen-Hook vum VPN leeft, ass eng ganz aner Ausféierungskontext. Si huet keng Webufro, kee Client-Socket a keen REMOTE_ADDR, dofir liwwert Webcode deen an en Hook kopéiert gëtt eidel Wäerter amplaz falsch. Den Hook huet seng eege Ëmfeld, déi den Daemon fëllt, an et ass separat dokumentéiert. Do no REMOTE_ADDR ze gräifen ass no enger Variabel ze gräifen déi ni gesat gouf.
Behalt dësen Ënnerscheed am Kapp éier s du zwee Loge vergläichs. Vläicht vergläichs du eng Säitenufro mat engem Hook, an dat ass guer kee Verglach. Kontrolléier fir d'éischt den Ausféierungskontext an duerno d'Adress.
Verfolleg de Wee vun der Ufro éier s du der Nummer vertrausch
Déi gemellt Adress ass de Peer vun der Verbindung déi de Webserver gesinn huet. Setz eppes tëschent de Client an dee Server an de Peer ännert sech. Iwwersetzung, Ofschloss a Laaschtausgläich réckelen all d'Observatioun ee Sprong méi wäit vum Benotzer ewech.
Véier üblech Weeër ginn véier verschidde Observatiounen.
| Path to the listener | What can be reported |
|---|---|
| Client routed straight to the private listener, no translation | The client's tunnel address |
| Gateway translates the source before forwarding | The gateway's translated address |
| Reverse proxy terminates the client and opens its own backend connection | The proxy's backend address |
| Load balancer in front of two proxies | Whichever hop the server treats as its peer |
Schreif de Wee op mat dem Numm vum Zil, der Adressfamill an all Iwwersetzungspunkt. Ouni där Kaart gesinn eng korrekt an eng falsch Wäert identesch aus an enger Logzeil. Zwee Zeilen Diagramm spuere en Nomëtteg Diskussioun.
Ersetzung geschitt just do wou se konfiguréiert ass
E Server oder e Framework kann d'Adress vum Client bewosst ersetzen. D'remote-IP-Modul vum Apache an d'real-IP-Modul vum NGINX maachen dat allebéid, an de Wäert deen PHP kritt hänkt vun där Konfiguratioun of plus de Parameteren déi un den Skripthandler ginn.
Also ass REMOTE_ADDR net ëmmer deen onberührten TCP-Peer. Et ass de Peer esou wéi de Server decidéiert huet en ze mell, nodeems en seng eege Politik ugewannt huet. Dee vun Ënnerscheed decidéiert ob de Wäert Beweis oder Dekoratioun ass.
Fro den Eegentemer vum Server wéi eng Feld an dëser Installatioun autoritativ ass a wéi den urspréngleche Peer erhale bleift wann eng Ersetzung geschitt. Wann een net kann äntweren, beweist de Log nach näischt.
Lies Viruleedungskäpp net op Vertrauen
Den Uruffer kann d'Viruleedungskäpp selwer schécken. D'éischt kommagetrennt Fächerung als verifizéiert Benotzeradress ze behandelen heescht ze decidéieren jidderengem ze gleewen dee sech verbënnt, déi Géigesäitegkeet vum Zweck vum Käpp. De Käpp beschréift eng Kette, a just eng vertrauenswürdeg Schicht kann fir déi Kette biergen.
Benotz d'Ënnerstëtzung vum Server oder Framework fir vertrauenswürdeg Proxien mat der rëmmlecher Proxykette konfiguréiert, a loosse se d'Wäerter aus Quelle baussenhalleg vun der Kette ewechgeheien. Déi vun Hand geschriwwen Analyse ass do wou déi meescht interessant Feeler wunnen.
Eng vum Proxy gemellt Adress ännert och net d'Paketquell déi eng Firewall méi uewen gesäit. Halt HTTP-Metadaten an Netzwierkfilterung als separat Observatiounen, well se verschidde Froen äntwerten.
Benotz d'Identitéit vun der Applikatioun fir Entscheedungen
Fir Zougrëff op d'Rekorder vun engem Benotzer, verlooss dech op deen authentifizéierte Prinzipal an op d'Autorisatiounsregelen vun der Applikatioun. Eng intern Adress kann nei zougewisen ginn, an eng iwwersat Adress kann Honnerte vu gläichzäitege Benotzer representéieren. Keen vun dësen Eegenschafte kann eng Adresskontroll reparéieren.
Wann d'Operatioun eng Ufro mat enger VPN-Sessioun verbannen muss, verbann déi observéiert Adress an den Zäitstempel mat den autoritative Sessiounsrekorder no deem Iwwersetzungsmodell deen s du dokumentéiert hues. Dat ergëtt eng Associatioun déi s du ka verdeedegen; eng Adress eleng net.
Fir d'Diagnos, log déi puer Felder déi s du brauchs amplaz vum ganze Serverarray, deen Headeren an Authentifikatiounsmaterial droe kann. Déi nëtzlech Konklusioun seet wat dëse Wäert an dëser Installatioun bedeit, net wéi ee Wäert am meeschten wéi e Client ausgesäit.