ウェブサイトは NAT とフォワードプロキシを見分けられるか

複数の訪問者が一つのパブリックアドレスから届く。これは社内の NAT ゲートウェイに当てはまる。共有されたフォワードプロキシにも当てはまる。アドレスだけでは両者を選び分けられない。

NAT は経路上でアドレス情報を書き換える。フォワードプロキシは接続を受け取り、その先へ別の接続を張る。仕組みは異なるが、宛先が見るのは自分に届いた接続であり、クライアントのネットワーク機器の完全な一覧ではない。

HTTP の Via フィールドは HTTP 仲介者の証拠になり得る。その不在はより狭く解釈すべきだ。この要求がこの観測者にその指標を示さなかった、というだけである。ヘッダーは信頼できない場合も、削除されている場合も、通常のエンドツーエンド TLS トンネル内では参照できない場合もある。IP レピュテーションのデータベースは別種の証拠を与えるが、独自の適用範囲と鮮度を持つ。

だからこそ、検査ツールの「プロキシ未検出」はネットワーク構成図ではない。他のすべてのサイトが同じ結論に達することを証明することもできない。

クライアントやネットワークを運用しているなら、端点の観測を実際のアプリケーション設定、ゲートウェイ構成、関連する接続記録と突き合わせる。サイトだけを運用しているなら、自分のシグナルが支える範囲を述べ、不確実性の余地を残す。

アクセス制御では、何を守る必要があるかを決める。共有アドレスは粗いレート制限には役立つが、一人の人間の代理としては弱い。NAT やプロキシと呼んでも、その身元の問題は解決しない。