Bolehkah laman web membezakan NAT daripada proksi hadapan?

Beberapa pelawat datang dari satu alamat awam. Itu sepadan dengan gerbang NAT pejabat. Ia juga sepadan dengan proksi hadapan yang dikongsi. Alamat itu sahaja tidak memilih antara keduanya.

NAT mengubah maklumat alamat di sepanjang laluan. Proksi hadapan menerima sambungan dan membuat sambungan seterusnya. Itu mekanisme berbeza, tetapi destinasi melihat sambungan yang tiba kepadanya, bukan inventori lengkap perkakasan rangkaian klien.

Medan Via dalam HTTP boleh memberi bukti tentang perantara HTTP. Baca ketiadaannya dengan lebih sempit: permintaan ini tidak mendedahkan penunjuk itu kepada pemerhati ini. Pengepala mungkin tidak dipercayai, dibuang atau tidak tersedia di dalam terowong TLS hujung ke hujung biasa. Pangkalan data reputasi IP memberikan bukti jenis lain, dengan liputan dan usia tersendiri.

Sebab itulah “tiada proksi dikesan” pada pemeriksa bukan gambar rajah rangkaian. Ia juga tidak boleh mengesahkan bahawa setiap laman web lain akan sampai kepada kesimpulan yang sama.

Jika anda mengendalikan klien atau rangkaian, gabungkan pemerhatian titik akhir dengan tetapan aplikasi sebenar, konfigurasi gerbang dan rekod sambungan yang berkaitan. Jika anda hanya mengendalikan laman web, terangkan apa yang disokong oleh isyarat anda dan beri ruang untuk ketidakpastian.

Untuk kawalan akses, tentukan apa yang perlu dilindungi. Alamat kongsi boleh berguna untuk had kadar kasar, tetapi pengganti yang lemah untuk satu orang. Menyebutnya NAT atau proksi tidak menyelesaikan masalah identiti itu.