Hereta una màquina virtual NAT l'inici de sessió del proxy de l'amfitrió?
Determineu si un convidat comparteix una autorització de xarxa basada en IP o si realment s'autentica en un proxy explícit.
Que un convidat navegui després que l'amfitrió iniciï sessió no demostra que NAT hagi passat la contrasenya del proxy de l'amfitrió al convidat. Dos mecanismes poden semblar iguals:
| Mecanisme | Què s'autoritza |
|---|---|
| Autenticació explícita de proxy HTTP | Un repte del proxy, com ara 407, es respon amb credencials segons les regles del proxy |
| Concessió d'accés a portal o xarxa basada en l'adreça | Trànsit associat a una adreça d'origen visible |
Amb NAT, el trànsit de l'amfitrió i del convidat poden compartir l'origen traduït de l'amfitrió. Per tant, una concessió lligada només a aquesta adreça pot cobrir tots dos. El mateix NAT no copia la configuració de proxy del navegador ni genera Proxy-Authorization per a les aplicacions del convidat.
Per distingir-los, identifiqueu si el convidat es connecta a un proxy explícit o passa directament per la passarel·la. Després determineu si la política superior autoritza un usuari, una connexió, un dispositiu o una adreça. Si el convidat fa servir un proxy, reviseu-ne les regles i qualsevol comportament existent de connexió autenticada; una petició sola no pot identificar el mètode.
Un convidat en pont pot presentar un origen diferent i tornar a trobar el portal. IPv6 també pot seguir un camí diferent del NAT d'IPv4. Per a la responsabilitat individual, trieu una frontera d'identitat que distingeixi els usuaris necessaris en lloc de suposar que una adreça traduïda representa una persona.