웹사이트가 NAT와 포워드 프록시를 구분할 수 있을까?

여러 방문자가 하나의 공인 주소에서 도착한다. 이는 사무실 NAT 게이트웨이와 들어맞는다. 공유 포워드 프록시와도 들어맞는다. 주소만으로는 둘 중 하나를 고르지 못한다.

NAT는 경로를 따라 주소 정보를 바꾼다. 포워드 프록시는 연결을 받아 다음 연결을 만든다. 서로 다른 방식이지만, 목적지는 자신에게 도달한 연결만 보며 클라이언트 네트워크 장비의 전체 목록을 보지는 않는다.

HTTP의 Via 필드는 HTTP 중개자의 증거가 될 수 있다. 그 부재는 더 좁게 읽어야 한다. 이 요청이 이 관찰자에게 그 지표를 드러내지 않았다는 뜻일 뿐이다. 헤더는 신뢰할 수 없거나 제거되었거나 일반적인 종단 간 TLS 터널 안에서는 사용할 수 없을 수 있다. IP 평판 데이터베이스는 다른 종류의 증거를 제공하며, 나름의 범위와 최신성을 가진다.

그래서 검사 도구의 “프록시 미탐지”는 네트워크 구성도가 아니다. 다른 모든 사이트가 같은 결론에 이른다고 보증할 수도 없다.

클라이언트나 네트워크를 운영한다면 종단점의 관측을 실제 애플리케이션 설정, 게이트웨이 구성, 관련 연결 기록과 결합하라. 사이트만 운영한다면 자신의 신호가 뒷받침하는 범위를 설명하고 불확실성의 여지를 남겨라.

접근 제어에서는 무엇을 보호해야 하는지 정하라. 공유 주소는 거친 속도 제한에는 쓸모가 있지만 한 사람을 대신하기에는 약하다. 그것을 NAT나 프록시라고 부르는 것으로는 그 신원 문제가 해결되지 않는다.