Ağ geçidi mi yoksa yönlendirilmiş istemci mi? Kaynak adresini okumak

Web sunucusu tek bir adres kaydeder ve herkes bunun ağ geçidinin kendi sürecine ait olduğunu varsayar. Çeviri adımında özel adresi kaybolan yönlendirilmiş bir istemciye ait olabilir. Hedef yalnızca görünen ağ kaynağını görür, başka bir şey görmez. Bu bir sınır ifadesidir, kökenin asla belirlenemeyeceği iddiası değildir.

Hedefin gerçekte gördüğü şey

10.20.0.7 adresindeki bir istemciyi, dış adresi 198.51.100.10 olan bir ağ geçidini ve internette bir hedefi ele alın. Ağ geçidi istemcinin kaynağını çevirirse, hedefin soketi 198.51.100.10 kaydeder. Özel adres paketten kaybolur ve hedef bunu o başlıktan geri okuyamaz. Bu sayılar örnektir, ağınızdan alınmış bir kayıt değildir.

Gözlem yine de yararlıdır: hedefin izin vermesi veya engellemesi gereken ağ kaynağını tanımlar. Sadece arkasındaki kişiyi ya da süreci tanımlamaz. Hedefin operatörü için bu ayrım, engellemenin bir ağ kararı mı yoksa bir hesap kararı mı olduğunu belirler.

Çeviri durumu hedef için görünür değildir

Ağ geçidi, çevrilmiş bağlantı ile özgün istemci arasındaki eşlemeyi tutar ve hedefin eksik olduğu şey tam olarak bu durumdur. geleneksel NAT açıklaması çeviri kaydını sonradan görünen başlıklardan ayırır. Bir tarafı okumak diğerini vermez.

Farklı tasarımlar farklı kanıtlar üretir. Kaynak adresleri korunan yönlendirilmiş trafik istemcinin gerçek adresini gösterirken, bir uygulama vekili bağlantıyı sonlandırır ve yenisini oluşturur. Kaynağı korunan bir yol, istemcinin adresinin hedeften geriye yönlendirilebilir olmasını da gerektirir; bunu her dağıtım sunmaz. Bir günlük satırını yorumlamadan önce hangi tasarımın dağıtıldığını sorun.

conntrack -L -s 198.51.100.10
tcpdump -ni eth0 host 198.51.100.10

TTL ve parmak izleri ipucudur, kanıt değildir

IPv4'te TTL, göndericinin seçtiği başlangıç değerine ve paketin geçtiği atlama sayısına bağlıdır. Her iki olgu olmadan bir değer, bir VPN atlamasının gerçekleştiğini kanıtlayamaz. Bilinen ek bir yönlendirilmiş atlama da bir LAN yönlendiricisini, tünel yolunu ya da başka bir iletme düzenini ayırt edemez. TTL farkını bir soru olarak ele alın, sonuç olarak değil.

Diğer sinyaller de aynı şekilde davranır. Bir User-Agent başlığı uygulama tarafından ayarlanabilir ve zaman benzerliği paylaşılan bir kişiyi değil paylaşılan altyapıyı yansıtabilir. Birden çok kullanıcı bir çıkışı paylaşabilir ve bir kullanıcı oturumlar arasında yolu değiştirebilir. Birlikte toplandığında, birkaç zayıf sinyal bir ağ geçidinin kayıtlarına daha yakından bakmayı haklı çıkarabilir, ancak birikerek güçlü kanıt hâline gelmezler.

Adrese göre değil, kimliğe göre yetkilendirin

Hedef, ağ geçidi yönetimini uzak kullanıcı etkinliğinden ayırmak zorundaysa, bu rollere ayrı doğrulanmış kimlikler ve izin verilen işlemler verin. Paylaşılan bir genel kaynak hâlâ bir ağ kısıtlaması olarak hizmet edebilir, ancak kullanıcının ya da cihazın kimlik doğrulamasının yerini tutmaz.

Kanıtları etiketli tutun: gözlemlenen kaynak, doğrulanmış hesap, zamanlama ve değerlendirilen çıkarım. «Burada iç kaynak görünmüyor» ifadesini «hiçbir yerde atıf mümkün değil» diye çevirmeyin. Etiket, aylar sonra soruşturmanın parçası olmayan biri kaydı okuduğunda önemlidir.

Gözlemin tarihini ve onu üreten sistemi kaydedin. Atıf içermeyen bir günlük kesiti sonradan savunmak zordur.