Gateway sau client redirecționat? Citirea adresei sursă

Serverul web înregistrează o adresă, iar toți presupun că aparține procesului gateway-ului însuși. Poate aparține unui client redirecționat a cărui adresă privată a dispărut la pasul de traducere. Destinația vede sursa de rețea vizibilă și nimic mai mult. Este o afirmație de graniță, nu pretenția că originea nu poate fi stabilită niciodată.

Ce vede de fapt destinația

Luați un client la 10.20.0.7, un gateway a cărui adresă externă este 198.51.100.10 și o destinație pe internet. Dacă gateway-ul traduce sursa clientului, socketul destinației înregistrează 198.51.100.10. Adresa privată dispare din pachet, iar destinația nu o poate reciti din acel antet. Acele numere sunt ilustrative, nu o captură din rețeaua dumneavoastră.

Observația rămâne utilă: identifică sursa de rețea pe care destinația trebuie să o permită sau să o blocheze. Pur și simplu nu identifică persoana sau procesul din spate. Pentru operatorul destinației, această distincție decide dacă o blocare este o decizie de rețea sau o decizie de cont.

Starea traducerii nu este vizibilă pentru destinație

Gateway-ul păstrează maparea dintre conexiunea tradusă și clientul original, iar exact această stare lipsește destinației. descrierea tradițională a NAT separă înregistrarea traducerii de antetele vizibile după aceea. Citirea unei părți nu o dă pe cealaltă.

Proiecte diferite produc dovezi diferite. Traficul rutat cu adrese sursă păstrate arată adresa reală a clientului, în timp ce un proxy de aplicație încheie conexiunea și creează una nouă. O rută cu sursă păstrată cere, de asemenea, ca adresa clientului să fie rutabilă înapoi dinspre destinație, ceea ce nu oferă fiecare implementare. Întrebați ce proiect este implementat înainte de a interpreta o linie de jurnal.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL și amprentele sunt indicii, nu dovezi

TTL în IPv4 depinde de valoarea inițială aleasă de expeditor și de numărul de salturi pe care le-a parcurs pachetul. Fără ambele fapte, o valoare nu poate dovedi că a avut loc un salt VPN. Un salt rutat suplimentar cunoscut nu reușește nici el să distingă un router LAN, o cale de tunel sau altă aranjare de redirecționare. Tratați diferența de TTL ca pe o întrebare, nu ca pe o concluzie.

Alte semnale se comportă la fel. Un antet User-Agent poate fi setat de aplicație, iar asemănarea de timp poate reflecta infrastructură partajată în locul unei persoane partajate. Mai mulți utilizatori pot partaja o singură ieșire, iar un utilizator poate schimba căile între sesiuni. Adunate, mai multe semnale slabe pot justifica o privire mai atentă la înregistrările unui gateway, dar nu devin dovezi puternice prin acumulare.

Autorizați după identitate, nu după adresă

Dacă destinația trebuie să separe administrarea gateway-ului de activitatea utilizatorilor la distanță, dați acestor roluri identități autentificate separate și operațiuni permise. O sursă publică partajată poate servi în continuare ca restricție de rețea, dar nu înlocuiește autentificarea utilizatorului sau a dispozitivului.

Păstrați dovezile etichetate: sursa observată, contul autentificat, momentul și inferența luată în considerare. Nu traduceți „aici nu se vede nicio sursă internă” ca „nicio atribuire posibilă nicăieri”. Eticheta contează când cineva care nu a făcut parte din investigație citește înregistrarea luni mai târziu.

Înregistrați data observației și sistemul care a produs-o. Un fragment de jurnal fără atribuire este greu de apărat mai târziu.