Kan et nettsted skille NAT fra en videresendende proxy?

Flere besøkende ankommer fra én offentlig adresse. Det passer med en kontor-NAT-port. Det passer også med en delt videresendende proxy. Adressen alene velger ikke mellom dem.

NAT endrer adresseopplysningene langs veien. En videresendende proxy tar imot en forbindelse og lager en ny forbindelse videre. Dette er ulike mekanismer, men en destinasjon ser forbindelsene som når den, ikke en full oversikt over klientens nettverksutstyr.

Et HTTP-felt Via kan gi bevis for HTTP-mellomledd. Fraværet bør leses snevrere: denne forespørselen eksponerte ikke den indikatoren for denne observatøren. Headere kan være upålitelige, fjernet eller utilgjengelige inne i en vanlig ende-til-ende TLS-tunnel. IP-omdømmedatabaser gir en annen type bevis, med sin egen dekning og alder.

Derfor er «ingen proxy oppdaget» i et kontrollverktøy ikke et nettverkskart. Det kan heller ikke bekrefte at alle andre nettsteder trekker samme slutning.

Hvis du drifter klienten eller nettverket, må du kombinere endepunktets observasjoner med de faktiske applikasjonsinnstillingene, gateway-oppsettet og de relevante forbindelsesloggene. Hvis du bare drifter nettstedet, bør du beskrive hva signalene dine støtter og gi rom for usikkerhet.

For tilgangskontroll må du avgjøre hva du trenger å beskytte. En delt adresse kan være nyttig for en grov hastighetsbegrensning, men er en dårlig erstatning for én person. Å kalle den NAT eller proxy løser ikke det identitetsproblemet.