Brána alebo preposlaný klient? Ako čítať zdrojovú adresu

Webový server zaznamená jednu adresu a všetci predpokladajú, že patrí procesu samotnej brány. Môže patriť preposlanému klientovi, ktorého súkromná adresa zmizla v kroku prekladu. Cieľ vidí viditeľný sieťový zdroj a nič viac. Je to tvrdenie o hranici, nie tvrdenie, že pôvod sa nedá nikdy zistiť.

Čo cieľ skutočne vidí

Vezmite klienta na 10.20.0.7, bránu s vonkajšou adresou 198.51.100.10 a cieľ na internete. Ak brána preloží zdroj klienta, socket cieľa zaznamená 198.51.100.10. Súkromná adresa zmizne z paketu a cieľ ju z tohto záhlavia už neprečíta. Tie čísla sú ilustratívne, nie záznam z vašej siete.

Pozorovanie je stále užitočné: určuje sieťový zdroj, ktorý cieľ musí povoliť alebo zablokovať. Jednoducho neidentifikuje osobu ani proces za ním. Pre prevádzkovateľa cieľa toto rozlíšenie rozhoduje, či je blokovanie sieťové rozhodnutie alebo rozhodnutie o účte.

Stav prekladu nie je pre cieľ viditeľný

Brána uchováva mapovanie medzi preloženým spojením a pôvodným klientom a presne tento stav cieľu chýba. tradičný opis NAT oddeľuje záznam prekladu od záhlaví viditeľných neskôr. Čítanie jednej strany vám nedá tú druhú.

Rôzne riešenia poskytujú rôzne dôkazy. Smerovaná prevádzka so zachovanými zdrojovými adresami ukazuje skutočnú adresu klienta, zatiaľ čo aplikačný proxy spojenie ukončí a vytvorí nové. Trasa so zachovaným zdrojom tiež vyžaduje, aby adresa klienta bola smerovateľná späť z cieľa, čo neponúka každé nasadenie. Pred interpretáciou riadku záznamu sa opýtajte, aké riešenie je nasadené.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL a odtlačky sú stopy, nie dôkazy

TTL v IPv4 závisí od počiatočnej hodnoty zvolenej odosielateľom a od počtu skokov, ktoré paket prešiel. Bez oboch faktov hodnota nemôže dokázať, že nastal skok VPN. Známy dodatočný smerovaný skok tiež nedokáže rozlíšiť smerovač LAN, cestu tunela alebo iné usporiadanie preposielania. Berte rozdiel v TTL ako otázku, nie ako záver.

Iné signály sa správajú rovnako. Záhlavie User-Agent môže nastaviť aplikácia a podobnosť času môže odrážať zdieľanú infraštruktúru, nie zdieľanú osobu. Viacerí používatelia môžu zdieľať jeden výstup a jeden používateľ môže medzi reláciami meniť cesty. Spoločne zhromaždené môžu slabé signály odôvodniť bližší pohľad do záznamov brány, ale hromadením sa nestanú silnými dôkazmi.

Autorizujte podľa identity, nie podľa adresy

Ak cieľ musí oddeliť správu brány od aktivity vzdialeného používateľa, dajte týmto rolám samostatné overené identity a povolené operácie. Zdieľaný verejný zdroj môže stále slúžiť ako sieťové obmedzenie, ale nenahrádza overenie používateľa alebo zariadenia.

Držte dôkazy označené: pozorovaný zdroj, overený účet, časovanie a zvažovaný záver. Neprekladajte „tu nie je viditeľný žiadny vnútorný zdroj“ ako „priradenie nie je nikde možné“. Označenie je dôležité, keď záznam o mesiace neskôr číta niekto, kto nebol súčasťou vyšetrovania.

Zaznamenajte dátum pozorovania a systém, ktorý ho vytvoril. Výňatok z protokolu bez priradenia sa neskôr ťažko obhajuje.