Vārteja vai pārsūtīts klients? Avota adreses lasīšana

Tīmekļa serveris reģistrē vienu adresi, un visi pieņem, ka tā pieder pašas vārtejas procesam. Tā var piederēt pārsūtītam klientam, kura privātā adrese pazuda tulkošanas solī. Galamērķis redz redzamo tīkla avotu un neko vairāk. Tas ir robežas apgalvojums, nevis apgalvojums, ka izcelsmi nekad nevar noteikt.

Ko galamērķis patiešām redz

Ņemiet klientu adresē 10.20.0.7, vārteju, kuras ārējā adrese ir 198.51.100.10, un galamērķi internetā. Ja vārteja tulko klienta avotu, galamērķa ligzda reģistrē 198.51.100.10. Privātā adrese pazūd no paketes, un galamērķis to nevar nolasīt atpakaļ no šīs galvenes. Šie skaitļi ir ilustratīvi, nevis ieraksts no jūsu tīkla.

Novērojums joprojām ir noderīgs: tas identificē tīkla avotu, kas galamērķim jāatļauj vai jābloķē. Tas vienkārši neidentificē aiz tā esošo personu vai procesu. Galamērķa operatoram šī atšķirība nosaka, vai bloķēšana ir tīkla lēmums vai konta lēmums.

Tulkošanas stāvoklis galamērķim nav redzams

Vārteja glabā atbilstību starp tulkoto savienojumu un sākotnējo klientu, un tieši šī stāvokļa galamērķim trūkst. tradicionālais NAT apraksts atdala tulkošanas ierakstu no vēlāk redzamajām galvenēm. Lasot vienu pusi, otru nesaņem.

Dažādi risinājumi sniedz dažādus pierādījumus. Maršrutēta satiksme ar saglabātām avota adresēm parāda klienta īsto adresi, savukārt lietojumprogrammas starpniekserveris pārtrauc savienojumu un izveido jaunu. Maršrutam ar saglabātu avotu arī jāpieprasa, lai klienta adrese būtu maršrutējama atpakaļ no galamērķa, ko ne katrs izvietojums piedāvā. Pajautājiet, kurš risinājums ir izvietots, pirms interpretējat žurnāla rindu.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL un pirkstu nospiedumi ir pavedieni, ne pierādījumi

TTL IPv4 ir atkarīgs no sūtītāja izvēlētās sākotnējās vērtības un no pakešu šķērsoto lēcienu skaita. Bez abiem faktiem vērtība nevar pierādīt, ka noticis VPN lēciens. Zināms papildu maršrutēts lēciens arī nespēj atšķirt LAN maršrutētāju, tuneļa ceļu vai citu pārsūtīšanas kārtību. Uztveriet TTL atšķirību kā jautājumu, nevis secinājumu.

Citi signāli uzvedas tāpat. User-Agent galveni var iestatīt lietojumprogramma, un laika līdzība var atspoguļot kopīgu infrastruktūru, nevis kopīgu personu. Vairāki lietotāji var dalīties vienā izejā, un viens lietotājs var mainīt ceļus starp sesijām. Kopā savākti, vairāki vāji signāli var attaisnot rūpīgāku ieskatu vārtejas ierakstos, bet uzkrājoties tie nekļūst par spēcīgiem pierādījumiem.

Atļaujiet pēc identitātes, nevis pēc adreses

Ja galamērķim ir jānošķir vārtejas administrēšana no attālināta lietotāja darbības, piešķiriet šīm lomām atsevišķas autentificētas identitātes un atļautas darbības. Kopīgs publisks avots joprojām var kalpot kā tīkla ierobežojums, bet tas neaizstāj lietotāja vai ierīces autentifikāciju.

Glabājiet pierādījumus marķētus: novērotais avots, autentificētais konts, laiks un izskatāmais secinājums. Netulkojiet «šeit nav redzams iekšējs avots» kā «nekur nav iespējama attiecināšana». Marķējums ir svarīgs, kad mēnešus vēlāk ierakstu lasa kāds, kurš nebija izmeklēšanas daļa.

Reģistrējiet novērojuma datumu un sistēmu, kas to radīja. Neattiecinātu žurnāla izvilkumu vēlāk ir grūti aizstāvēt.