Tarpinė grandis ar persiųstas klientas? Šaltinio adreso skaitymas

Žiniatinklio serveris registruoja vieną adresą, ir visi mano, kad jis priklauso pačios tarpinės grandies procesui. Jis gali priklausyti persiųstam klientui, kurio privatus adresas dingo vertimo etape. Paskirties vieta mato matomą tinklo šaltinį ir nieko daugiau. Tai ribos teiginys, o ne teiginys, kad kilmės niekada neįmanoma nustatyti.

Ką paskirties vieta iš tikrųjų mato

Paimkite klientą adresu 10.20.0.7, tarpinę grandį, kurios išorinis adresas 198.51.100.10, ir paskirties vietą internete. Jei tarpinė grandis išverčia kliento šaltinį, paskirties vietos lizdas įrašo 198.51.100.10. Privatus adresas dingsta iš paketo, ir paskirties vieta negali jo atskaityti iš tos antraštės. Tie skaičiai iliustraciniai, o ne jūsų tinklo įrašas.

Stebėjimas vis tiek naudingas: jis nustato tinklo šaltinį, kurį paskirties vieta turi leisti arba blokuoti. Jis tiesiog nenustato už jo esančio asmens ar proceso. Paskirties vietos operatoriui šis skirtumas lemia, ar blokavimas yra tinklo sprendimas, ar paskyros sprendimas.

Vertimo būsena paskirties vietai nematoma

Tarpinė grandis saugo atitikimą tarp išversto ryšio ir pradinio kliento, ir būtent šios būsenos paskirties vietai trūksta. tradicinis NAT aprašymas atskiria vertimo įrašą nuo vėliau matomų antraščių. Skaitant vieną pusę, kita negaunama.

Skirtingi sprendimai duoda skirtingus įrodymus. Maršrutizuotas srautas su išsaugotais šaltinio adresais rodo tikrąjį kliento adresą, o programos tarpinis serveris nutraukia ryšį ir sukuria naują. Maršrutas su išsaugotu šaltiniu taip pat reikalauja, kad kliento adresas būtų maršrutizuojamas atgal iš paskirties vietos, ko ne kiekvienas diegimas siūlo. Paklauskite, koks sprendimas įdiegtas, prieš aiškindami žurnalo eilutę.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL ir pirštų atspaudai yra užuominos, o ne įrodymai

IPv4 TTL priklauso nuo siuntėjo pasirinktos pradinės reikšmės ir nuo paketo įveiktų šuolių skaičiaus. Be abiejų faktų reikšmė negali įrodyti, kad įvyko VPN šuolis. Žinomas papildomas maršrutizuotas šuolis taip pat neišskiria LAN maršrutizatoriaus, tunelio kelio ar kitos peradresavimo tvarkos. TTL skirtumą traktuokite kaip klausimą, o ne išvadą.

Kiti signalai elgiasi taip pat. User-Agent antraštę gali nustatyti programa, o laiko panašumas gali atspindėti bendrą infrastruktūrą, o ne bendrą asmenį. Keli naudotojai gali dalytis vienu išėjimu, o vienas naudotojas gali keisti maršrutus tarp sesijų. Surinkti kartu, keli silpni signalai gali pateisinti atidesnį žvilgsnį į tarpinės grandies įrašus, bet susikaupę jie netampa stipriais įrodymais.

Įgalinkite pagal tapatybę, o ne pagal adresą

Jei paskirties vieta turi atskirti tarpinės grandies administravimą nuotolinio naudotojo veiklos, suteikite tiems vaidmenims atskiras autentifikuotas tapatybes ir leidžiamas operacijas. Bendras viešas šaltinis vis dar gali tarnauti kaip tinklo apribojimas, bet jis nepakeičia naudotojo ar įrenginio autentifikavimo.

Laikykite įrodymus pažymėtus: stebimas šaltinis, autentifikuota paskyra, laikas ir svarstoma išvada. Nevertinkite „čia nematomas vidinis šaltinis“ kaip „niekur neįmanoma priskyrimo“. Žymė svarbi, kai po kelių mėnesių įrašą skaito žmogus, kuris nebuvo tyrimo dalis.

Užrašykite stebėjimo datą ir sistemą, kuri jį sukūrė. Nepriskirtas žurnalo išrašas vėliau sunkiai apginamas.