Kan et websted skelne NAT fra en videresendende proxy?

Flere besøgende ankommer fra én offentlig adresse. Det passer på en kontor-NAT-gateway. Det passer også på en delt videresendende proxy. Adressen alene vælger ikke mellem dem.

NAT ændrer adresseoplysninger undervejs. En videresendende proxy accepterer en forbindelse og opretter en videre forbindelse. Det er forskellige mekanismer, men en destination ser de forbindelser, der når den, ikke en fuldstændig fortegnelse over klientens netværksudstyr.

Et HTTP-Via-felt kan give bevis for HTTP-mellemled. Behandl dets fravær mere snævert: denne anmodning eksponerede ikke den indikator for denne iagttager. Headere kan være utroværdige, fjernede eller utilgængelige inde i en almindelig TLS-tunnel fra ende til ende. IP-omdømmebaserede databaser giver en anden slags bevis, med deres egen dækning og alder.

Derfor er “ingen proxy fundet” i et kontrolværktøj ikke et netværksdiagram. Det kan heller ikke bekræfte, at alle andre websteder når samme konklusion.

Hvis du driver klienten eller netværket, skal du kombinere endepunktets observationer med de faktiske applikationsindstillinger, gatewaykonfigurationen og de relevante forbindelsesregistreringer. Hvis du kun driver webstedet, skal du beskrive, hvad dine signaler understøtter, og give plads til usikkerhed.

For adgangskontrol skal du beslutte, hvad du skal beskytte. En delt adresse kan være nyttig til en grov hastighedsgrænse, men er en dårlig erstatning for én person. At kalde den NAT eller en proxy løser ikke det identitetsproblem.