Порта или проследен клиент? Читање на изворната адреса

Веб-серверот запишува една адреса, и сите претпоставуваат дека таа му припаѓа на процесот на самата порта. Може да му припаѓа на проследен клиент чија приватна адреса исчезнала при преводот. Одредиштето ја гледа видливата мрежна изворна адреса и ништо повеќе. Тоа е изјава за граница, а не тврдење дека потеклото никогаш не може да се утврди.

Што всушност гледа одредиштето

Земете клиент на 10.20.0.7, порта со надворешна адреса 198.51.100.10 и одредиште на интернет. Ако портата ја преведе изворната адреса на клиентот, сокетот на одредиштето запишува 198.51.100.10. Приватната адреса исчезнува од пакетот, и одредиштето не може да ја прочита назад од тоа заглавие. Овие бројки се илустративни, а не снимка од вашата мрежа.

Набљудувањето сѐ уште е корисно: ја одредува мрежната изворна адреса што одредиштето мора да ја дозволи или блокира. Едноставно не го одредува лицето или процесот зад неа. За операторот на одредиштето, таа разлика одлучува дали блокирањето е мрежна одлука или одлука за сметка.

Состојбата на преводот не е видлива за одредиштето

Портата го чува совпаѓањето меѓу преведената врска и оригиналниот клиент, и токму таа состојба ѝ недостасува на одредиштето. традиционалниот опис на NAT го одделува записот за превод од заглавијата видливи потоа. Читањето на едната страна не ви ја дава другата.

Различни решенија даваат различни докази. Рутиран сообраќај со зачувани изворни адреси ја покажува вистинската адреса на клиентот, додека апликацискиот прокси ја прекинува врската и создава нова. Рутата со зачуван извор, исто така, бара адресата на клиентот да биде рутирана назад од одредиштето, што не го нуди секое распоредување. Прашајте кое решение е распоредено пред да толкувате линија од дневникот.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL и отпечатоците се траги, не докази

TTL во IPv4 зависи од почетната вредност што ја избира испраќачот и од бројот на скокови што ги поминал пакетот. Без двата факти, вредноста не може да докаже дека се случил VPN скок. Познат дополнителен рутиран скок, исто така, не успева да разликува LAN рутер, тунелска патека или друг распоред за проследување. Третирајте ја разликата во TTL како прашање, не како заклучок.

Другите сигнали се однесуваат исто. Заглавието User-Agent може да го постави апликацијата, а сличноста во времето може да одразува заедничка инфраструктура, а не заедничко лице. Неколку корисници можат да делат еден излез, а еден корисник може да менува патеки меѓу сесиите. Земени заедно, неколку слаби сигнали можат да оправдаат подлабок поглед во записите на портата, но со натрупување не стануваат силни докази.

Овластете по идентитет, не по адреса

Ако одредиштето треба да ја оддели администрацијата на портата од активноста на оддалечен корисник, дајте им на тие улоги одделни автентицирани идентитети и дозволени операции. Заедничкиот јавен извор сѐ уште може да служи како мрежно ограничување, но тој не ја заменува автентикацијата на корисникот или уредот.

Чувајте ги доказите означени: набљудуваниот извор, автентицираната сметка, времето и заклучокот што се разгледува. Не преведувајте „овде не се гледа внатрешен извор“ како „никаде не е возможно припишување“. Ознаката е важна кога месеци подоцна записот го чита некој што не бил дел од истрагата.

Запишете го датумот на набљудувањето и системот што го создал. Извадок од дневник без припишување тешко се брани подоцна.