Prehod ali posredovani odjemalec? Branje izvornega naslova

Spletni strežnik zabeleži en naslov, in vsi domnevajo, da pripada procesu samega prehoda. Lahko pripada posredovanemu odjemalcu, katerega zasebni naslov je izginil v koraku prevajanja. Cilj vidi viden omrežni vir in nič več. To je izjava o meji, ne trditev, da izvora ni mogoče nikoli ugotoviti.

Kaj cilj v resnici vidi

Vzemite odjemalca na 10.20.0.7, prehod z zunanjim naslovom 198.51.100.10 in cilj na internetu. Če prehod prevede vir odjemalca, vtičnica cilja zabeleži 198.51.100.10. Zasebni naslov izgine iz paketa in cilj ga ne more prebrati iz te glave. Te številke so ponazoritvene, ne posnetek iz vašega omrežja.

Opazovanje je še vedno koristno: določa omrežni vir, ki ga mora cilj dovoliti ali blokirati. Preprosto ne določa osebe ali procesa za njim. Za upravljavca cilja ta razlika odloča, ali je blokada omrežna odločitev ali odločitev o računu.

Stanje prevajanja ni vidno cilju

Prehod hrani preslikavo med prevedeno povezavo in prvotnim odjemalcem, in prav to stanje cilju manjka. tradicionalni opis NAT loči zapis prevajanja od glav, vidnih pozneje. Branje ene strani ne da druge.

Različne zasnove dajejo različne dokaze. Usmerjen promet z ohranjenimi izvornimi naslovi kaže pravi naslov odjemalca, medtem ko proxy aplikacije povezavo zaključi in ustvari novo. Pot z ohranjenim virom zahteva tudi, da je naslov odjemalca usmerljiv nazaj s cilja, česar ne ponuja vsaka namestitev. Preden razlagate vrstico dnevnika, vprašajte, katera zasnova je nameščena.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL in prstni odtisi so sledi, ne dokazi

TTL v IPv4 je odvisen od začetne vrednosti, ki jo izbere pošiljatelj, in od števila skokov, ki jih je paket opravil. Brez obeh dejstev vrednost ne more dokazati, da se je zgodil skok VPN. Znani dodatni usmerjeni skok tudi ne loči usmerjevalnika LAN, poti tunela ali druge ureditve posredovanja. Razliko v TTL obravnavajte kot vprašanje, ne kot sklep.

Drugi signali se obnašajo enako. Glavo User-Agent lahko nastavi aplikacija, podobnost časa pa lahko odraža skupno infrastrukturo namesto skupne osebe. Več uporabnikov si lahko deli en izhod, in en uporabnik lahko med sejami spremeni pot. Skupaj zbrani lahko šibki signali upravičijo podrobnejši pogled v zapise prehoda, vendar s kopičenjem ne postanejo močni dokazi.

Pooblastite po identiteti, ne po naslovu

Če mora cilj ločiti upravljanje prehoda od dejavnosti oddaljenega uporabnika, dajte tem vlogam ločene overjene identitete in dovoljene operacije. Skupni javni vir lahko še vedno služi kot omrežna omejitev, vendar ne nadomešča preverjanja uporabnika ali naprave.

Dokaze hranite označene: opazovani vir, overjen račun, čas in obravnavani sklep. Ne prevajajte „tu ni vidnega notranjega vira“ kot „nikjer ni mogoče pripisati“. Oznaka je pomembna, ko zapis mesece pozneje bere nekdo, ki ni bil del preiskave.

Zabeležite datum opazovanja in sistem, ki ga je ustvaril. Izvleček dnevnika brez pripisa je pozneje težko braniti.