Une machine virtuelle NAT hérite-t-elle de l'identification proxy de l'hôte ?
Déterminez si un invité partage une autorisation réseau fondée sur l'adresse IP ou s'authentifie réellement auprès d'un proxy explicite.
Qu'un invité navigue après la connexion de l'hôte ne prouve pas que NAT ait transmis le mot de passe proxy de l'hôte à l'invité. Deux mécanismes peuvent se ressembler :
| Mécanisme | Ce qui est autorisé |
|---|---|
| Authentification explicite auprès d'un proxy HTTP | Un défi du proxy, par exemple 407, reçoit une réponse avec des identifiants selon les règles du proxy |
| Octroi d'accès à un portail ou au réseau fondé sur l'adresse | Trafic associé à une adresse source visible |
Avec NAT, le trafic de l'hôte et de l'invité peuvent partager la source traduite de l'hôte. Un octroi lié à cette seule adresse peut donc couvrir les deux. NAT lui-même ne copie pas les paramètres proxy du navigateur et ne génère pas d'en-tête Proxy-Authorization pour les applications de l'invité.
Pour les distinguer, déterminez si l'invité se connecte à un proxy explicite ou passe directement par la passerelle. Déterminez ensuite si la politique en amont autorise un utilisateur, une connexion, un appareil ou une adresse. Si l'invité utilise un proxy, examinez ses règles et tout comportement existant de connexion authentifiée ; une simple invite ne peut pas identifier la méthode.
Un invité en mode pont peut présenter une autre source et rencontrer de nouveau le portail. IPv6 peut aussi emprunter un autre chemin que le NAT IPv4. Pour la responsabilité individuelle, choisissez une frontière d'identité qui distingue les utilisateurs requis plutôt que de supposer qu'une adresse traduite représente une personne.