Get laluan atau klien yang dimajukan? Membaca alamat sumber

Pelayan web merekodkan satu alamat, dan semua orang menganggap ia milik proses get laluan itu sendiri. Ia mungkin milik klien yang dimajukan yang alamat peribadinya hilang pada langkah terjemahan. Destinasi melihat sumber rangkaian yang kelihatan dan tidak lebih. Ini kenyataan sempadan, bukan dakwaan bahawa asal usul tidak boleh ditetapkan selama-lamanya.

Apa yang sebenarnya dilihat destinasi

Ambil klien pada 10.20.0.7, get laluan yang alamat luarnya 198.51.100.10, dan destinasi di internet. Jika get laluan menterjemah sumber klien, soket destinasi merekodkan 198.51.100.10. Alamat peribadi hilang daripada paket, dan destinasi tidak boleh membacanya semula daripada pengepala itu. Nombor-nombor itu ilustratif, bukan tangkapan daripada rangkaian anda.

Pemerhatian itu masih berguna: ia mengenal pasti sumber rangkaian yang destinasi mesti benarkan atau sekat. Ia hanya tidak mengenal pasti orang atau proses di belakangnya. Bagi pengendali destinasi, perbezaan itu menentukan sama ada sekatan ialah keputusan rangkaian atau keputusan akaun.

Keadaan terjemahan tidak kelihatan kepada destinasi

Get laluan menyimpan pemetaan antara sambungan yang diterjemahkan dan klien asal, dan keadaan itulah yang tiada pada destinasi. huraian NAT tradisional memisahkan rekod terjemahan daripada pengepala yang kelihatan selepas itu. Membaca satu pihak tidak memberikan pihak yang lain.

Reka bentuk berbeza menghasilkan bukti berbeza. Trafik berhalakan dengan alamat sumber terpelihara menunjukkan alamat sebenar klien, manakala proksi aplikasi menamatkan sambungan dan mencipta yang baharu. Laluan dengan sumber terpelihara juga memerlukan alamat klien boleh dihalakan semula dari destinasi, yang tidak ditawarkan oleh setiap penggunaan. Tanyakan reka bentuk mana yang digunakan sebelum mentafsir baris log.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL dan cap jari ialah petunjuk, bukan bukti

TTL dalam IPv4 bergantung pada nilai awal yang dipilih oleh penghantar dan bilangan lompatan yang dilalui paket. Tanpa kedua-dua fakta itu, sesuatu nilai tidak boleh membuktikan lompatan VPN berlaku. Lompatan berhalakan tambahan yang diketahui juga gagal membezakan penghala LAN, laluan terowong atau susunan pemajuan lain. Anggap perbezaan TTL sebagai soalan, bukan kesimpulan.

Isyarat lain berkelakuan sama. Pengepala User-Agent boleh ditetapkan oleh aplikasi, dan persamaan masa boleh mencerminkan infrastruktur dikongsi dan bukannya orang dikongsi. Beberapa pengguna boleh berkongsi satu jalan keluar, dan seorang pengguna boleh menukar laluan antara sesi. Dikumpulkan bersama, beberapa isyarat lemah mungkin mewajarkan penelitian lebih dekat pada rekod get laluan, tetapi ia tidak menjadi bukti kukuh dengan pengumpulan.

Benarkan mengikut identiti, bukan alamat

Jika destinasi mesti memisahkan pentadbiran get laluan daripada aktiviti pengguna jauh, berikan peranan itu identiti disahkan yang berasingan dan operasi dibenarkan. Sumber awam dikongsi masih boleh berfungsi sebagai sekatan rangkaian, tetapi ia bukan pengganti pengesahan pengguna atau peranti.

Simpan bukti berlabel: sumber yang diperhatikan, akaun disahkan, masa dan inferens yang sedang dipertimbangkan. Jangan terjemahkan «tiada sumber dalaman kelihatan di sini» sebagai «tiada atribusi mungkin di mana-mana». Label itu penting apabila seseorang yang bukan sebahagian daripada siasatan membaca rekod itu beberapa bulan kemudian.

Catat tarikh pemerhatian dan sistem yang menghasilkannya. Petikan log tanpa atribusi sukar dipertahankan kemudian.