Пролаз или прослеђени клијент? Читање изворне адресе

Веб сервер бележи једну адресу, и сви претпостављају да припада процесу самог пролаза. Може припадати прослеђеном клијенту чија је приватна адреса нестала у кораку превођења. Одредиште види видљиви мрежни извор и ништа више. То је тврдња о граници, а не тврдња да се порекло никада не може утврдити.

Шта одредиште заправо види

Узмите клијента на 10.20.0.7, пролаз чија је спољна адреса 198.51.100.10 и одредиште на интернету. Ако пролаз преведе клијентов извор, сокет одредишта бележи 198.51.100.10. Приватна адреса нестаје из пакета, и одредиште је не може поново прочитати из тог заглавља. Ти бројеви су илустративни, а не снимак из ваше мреже.

Посматрање је ипак корисно: оно идентификује мрежни извор који одредиште мора да дозволи или блокира. Једноставно не идентификује особу ни процес иза њега. За оператера одредишта та разлика одлучује да ли је блокирање мрежна одлука или одлука о налогу.

Стање превођења није видљиво одредишту

Пролаз чува мапирање између преведене везе и изворног клијента, и управо то стање одредишту недостаје. традиционални опис NAT-а одваја запис о превођењу од заглавља видљивих после. Читање једне стране не даје вам другу.

Различити дизајни дају различите доказе. Рутирани саобраћај са сачуваним изворним адресама показује праву адресу клијента, док апликацијски прокси завршава везу и ствара нову. Рута са сачуваним извором такође захтева да адреса клијента буде рутирана назад са одредишта, што не нуди свако распоређивање. Питајте који је дизајн распоређен пре него што протумачите линију дневника.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL и отисци су трагови, не докази

TTL у IPv4 зависи од почетне вредности коју изабере пошиљалац и од броја скокова које је пакет прешао. Без обе чињенице, вредност не може доказати да се догодио VPN скок. Познат додатни рутирани скок такође не успева да разликује LAN рутер, путању тунела или други распоред прослеђивања. Третирајте разлику у TTL-у као питање, а не као закључак.

Други сигнали се понашају исто. Заглавље User-Agent може поставити апликација, а временска сличност може одражавати заједничку инфраструктуру, а не заједничку особу. Неколико корисника може делити један излаз, а један корисник може мењати путање између сесија. Сакупљени заједно, неколико слабих сигнала може оправдати пажљивији поглед у записе пролаза, али се гомилањем не претварају у јаке доказе.

Овластите по идентитету, не по адреси

Ако одредиште мора да одвоји администрацију пролаза од активности удаљеног корисника, дајте тим улогама одвојене аутентификоване идентитете и дозвољене операције. Заједнички јавни извор и даље може служити као мрежно ограничење, али не замењује аутентификацију корисника или уређаја.

Држите доказе означене: посматрани извор, аутентификовани налог, време и закључак који се разматра. Не преводите „овде се не види унутрашњи извор“ као „никада се нигде не може приписати“. Ознака је важна када месецима касније запис чита неко ко није био део истраге.

Забележите датум посматрања и систем који га је произвео. Извод из дневника без приписивања тешко је бранити касније.