Gateway o naipasang kliyente? Pagbasa ng address ng pinagmulan

Nagtalâ ang web server ng isang address, at inaakala ng lahat na pag-aari ito ng proseso ng gateway mismo. Maaaring pag-aari ito ng naipasang kliyente na ang pribadong address ay nawala sa hakbang ng pagsasalin. Nakikita ng destinasyon ang nakikitang pinagmulan ng network at wala nang iba. Ito ay pahayag tungkol sa hangganan, hindi isang pag-aangkin na ang pinagmulan ay hindi kailanman matatagpuan.

Ano ang aktuwal na nakikita ng destinasyon

Kumuha ng kliyente sa 10.20.0.7, isang gateway na ang panlabas na address ay 198.51.100.10, at isang destinasyon sa internet. Kung isasalin ng gateway ang pinagmulan ng kliyente, itinatalâ ng socket ng destinasyon ang 198.51.100.10. Nawawala ang pribadong address sa packet, at hindi ito mababasa muli ng destinasyon mula sa header na iyon. Ang mga numerong ito ay halimbawa, hindi isang pagkuha mula sa inyong network.

Kapaki-pakinabang pa rin ang obserbasyon: tinutukoy nito ang pinagmulan ng network na dapat payagan o harangan ng destinasyon. Hindi lamang nito tinutukoy ang tao o prosesong nasa likod nito. Para sa operator ng destinasyon, ang pagkakaibang iyon ang nagpapasya kung ang pagharang ay desisyon sa network o desisyon sa account.

Hindi nakikita ng destinasyon ang kalagayan ng pagsasalin

Hinihawak ng gateway ang pagmamapa sa pagitan ng isinaling koneksiyon at ng orihinal na kliyente, at iyon mismo ang kulang sa destinasyon. Hinihiwalay ng tradisyonal na paglalarawan ng NAT ang talâ ng pagsasalin mula sa mga header na nakikita pagkatapos. Ang pagbasa ng isang panig ay hindi nagbibigay ng kabilang panig.

Iba't ibang disenyo ang nagbibigay ng iba't ibang ebidensiya. Ang niruruta na trapiko na may pinapanatiling address ng pinagmulan ay nagpapakita ng tunay na address ng kliyente, habang ang proxy ng aplikasyon ay tinatapos ang koneksiyon at gumagawa ng bago. Ang rutang may pinanatiling pinagmulan ay nangangailangan din na ang address ng kliyente ay maruta pabalik mula sa destinasyon, na hindi ibinibigay ng bawat deployment. Itanong kung aling disenyo ang naka-deploy bago bigyang-kahulugan ang isang linya ng log.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

Ang TTL at mga fingerprint ay bakas, hindi patunay

Ang TTL sa IPv4 ay nakadepende sa paunang halaga na pinili ng nagpadala at sa bilang ng hops na tinawid ng packet. Kung wala ang dalawang katotohanan, hindi mapapatunayan ng isang halaga na may naganap na VPN hop. Ang kilalang karagdagang nirurutang hop ay hindi rin nakikilala ang LAN router, daanan ng tunnel o ibang kaayusan ng pagpapasa. Ituring ang pagkakaiba ng TTL bilang tanong, hindi konklusyon.

Ganoon din ang ibang senyales. Ang header ng User-Agent ay maaaring itakda ng aplikasyon, at ang pagkakatulad ng oras ay maaaring sumasalamin sa pinagsasaluhang imprastruktura sa halip na pinagsasaluhang tao. Maraming user ang maaaring magsaluha sa isang labasan, at ang isang user ay maaaring magpalit ng ruta sa pagitan ng mga session. Kapag pinagsama-sama, ang ilang mahinang senyales ay maaaring magbigay-katuwiran sa mas malapit na pagtingin sa mga talâ ng gateway, ngunit hindi sila nagiging matibay na ebidensiya sa pamamagitan ng pag-iipon.

Bigyan ng pahintulot ayon sa pagkakakilanlan, hindi sa address

Kung kailangang ihiwalay ng destinasyon ang pangangasiwa ng gateway mula sa aktibidad ng malayong user, bigyan ang mga tungkuling iyon ng hiwalay na beripikadong pagkakakilanlan at pinapayagang operasyon. Ang pinagsasaluhang pampublikong pinagmulan ay maaari pa ring magsilbing paghihigpit sa network, ngunit hindi ito kapalit ng pagpapatotoo sa user o sa device.

Panatilihing may label ang ebidensiya: naobserbahang pinagmulan, beripikadong account, oras at ang hinuha na isinasaalang-alang. Huwag isalin ang «walang nakikitang panloob na pinagmulan dito» bilang «walang posibleng pag-uugnay kahit saan». Mahalaga ang label kapag binasa ng taong hindi bahagi ng imbestigasyon ang talâ makalipas ang mga buwan.

Itala ang petsa ng obserbasyon at ang sistemang gumawa nito. Ang bahagi ng log na walang pag-uugnay ay mahirap ipagtanggol sa hinaharap.