เกตเวย์หรือไคลเอนต์ที่ถูกส่งต่อ? การอ่านที่อยู่ต้นทาง

เว็บเซิร์ฟเวอร์บันทึกที่อยู่หนึ่งรายการ และทุกคนถือว่ามันเป็นของกระบวนการของเกตเวย์เอง มันอาจเป็นของไคลเอนต์ที่ถูกส่งต่อซึ่งที่อยู่ส่วนตัวหายไปในขั้นตอนการแปล ปลายทางเห็นต้นทางเครือข่ายที่มองเห็นได้เท่านั้น ไม่มากกว่านั้น นี่คือข้อความเกี่ยวกับขอบเขต ไม่ใช่การอ้างว่าต้นกำเนิดไม่อาจพิสูจน์ได้เลย

สิ่งที่ปลายทางเห็นจริง ๆ

ลองนึกถึงไคลเอนต์ที่ 10.20.0.7 เกตเวย์ที่มีที่อยู่ภายนอก 198.51.100.10 และปลายทางบนอินเทอร์เน็ต หากเกตเวย์แปลต้นทางของไคลเอนต์ ซ็อกเก็ตของปลายทางจะบันทึก 198.51.100.10 ที่อยู่ส่วนตัวหายไปจากแพ็กเก็ต และปลายทางอ่านกลับจากส่วนหัวนั้นไม่ได้ ตัวเลขเหล่านี้เป็นเพียงตัวอย่าง ไม่ใช่การดักจับจากเครือข่ายของคุณ

การสังเกตยังมีประโยชน์ มันระบุต้นทางเครือข่ายที่ปลายทางต้องอนุญาตหรือบล็อก มันเพียงไม่ระบุตัวบุคคลหรือกระบวนการที่อยู่เบื้องหลัง สำหรับผู้ดูแลปลายทาง ความแตกต่างนี้ตัดสินว่าการบล็อกเป็นการตัดสินใจระดับเครือข่ายหรือระดับบัญชี

สถานะการแปลไม่ปรากฏต่อปลายทาง

เกตเวย์เก็บการจับคู่ระหว่างการเชื่อมต่อที่แปลแล้วกับไคลเอนต์ต้นฉบับ และนั่นคือสถานะที่ปลายทางขาดไป คำอธิบาย NAT แบบดั้งเดิม แยกบันทึกการแปลออกจากส่วนหัวที่มองเห็นในภายหลัง การอ่านด้านหนึ่งไม่ได้ให้อีกด้านหนึ่ง

การออกแบบที่ต่างกันให้หลักฐานที่ต่างกัน ทราฟฟิกที่กำหนดเส้นทางพร้อมที่อยู่ต้นทางที่คงไว้จะแสดงที่อยู่จริงของไคลเอนต์ ขณะที่พร็อกซีแอปพลิเคชันยุติการเชื่อมต่อและสร้างใหม่ เส้นทางที่คงต้นทางยังต้องให้ที่อยู่ของไคลเอนต์สามารถกำหนดเส้นทางกลับได้จากปลายทาง ซึ่งไม่ใช่ทุกการติดตั้งจะให้ได้ ถามก่อนว่าติดตั้งการออกแบบใดก่อนตีความบรรทัดบันทึก

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL และลายนิ้วมือเป็นเบาะแส ไม่ใช่หลักฐาน

TTL ใน IPv4 ขึ้นอยู่กับค่าเริ่มต้นที่ผู้ส่งเลือกและจำนวนฮอปที่แพ็กเก็ตผ่าน หากไม่มีข้อเท็จจริงทั้งสอง ค่าหนึ่งค่าไม่อาจพิสูจน์ว่ามีฮอป VPN เกิดขึ้น ฮอปที่กำหนดเส้นทางเพิ่มเติมซึ่งรู้จักก็ไม่สามารถแยกเราเตอร์ LAN เส้นทางอุโมงค์ หรือการจัดส่งอื่นได้ มองความต่างของ TTL เป็นคำถาม ไม่ใช่ข้อสรุป

สัญญาณอื่นก็ทำงานเช่นเดียวกัน ส่วนหัว User-Agent ถูกตั้งโดยแอปพลิเคชันได้ และความคล้ายของเวลาอาจสะท้อนโครงสร้างพื้นฐานที่ใช้ร่วมกันมากกว่าบุคคลเดียวกัน ผู้ใช้หลายคนใช้ทางออกร่วมกันได้ และผู้ใช้คนเดียวเปลี่ยนเส้นทางระหว่างเซสชันได้ เมื่อรวบรวมเข้าด้วยกัน สัญญาณอ่อนหลายอย่างอาจทำให้ควรดูบันทึกของเกตเวย์ให้ละเอียดขึ้น แต่ไม่กลายเป็นหลักฐานที่หนักแน่นจากการสะสม

ให้สิทธิ์ตามอัตลักษณ์ ไม่ใช่ตามที่อยู่

หากปลายทางต้องแยกการดูแลเกตเวย์ออกจากกิจกรรมของผู้ใช้ระยะไกล ให้มอบอัตลักษณ์ที่ผ่านการยืนยันแยกกันและการดำเนินการที่อนุญาตแก่บทบาทเหล่านั้น ต้นทางสาธารณะที่ใช้ร่วมกันยังใช้เป็นข้อจำกัดเครือข่ายได้ แต่ไม่ใช่สิ่งทดแทนการยืนยันตัวผู้ใช้หรืออุปกรณ์

เก็บหลักฐานไว้พร้อมป้ายกำกับ: ต้นทางที่สังเกตได้ บัญชีที่ผ่านการยืนยัน เวลา และข้อสรุปที่อยู่ระหว่างการพิจารณา อย่าแปล «ไม่เห็นต้นทางภายในที่นี่» เป็น «ไม่สามารถระบุที่มาได้ทุกที่» ป้ายกำกับสำคัญเมื่อมีคนที่ไม่ได้ร่วมการสอบสวนอ่านบันทึกหลายเดือนต่อมา

บันทึกวันที่สังเกตและระบบที่สร้างมันขึ้นมา บันทึกบางส่วนที่ไม่มีการระบุที่มานั้นยากต่อการปกป้องในภายหลัง