Чи може сайт відрізнити NAT від прямого проксі?
Оцініть, що можуть довести спільна публічна IP-адреса, заголовки пересилання та результат перевірки проксі про маршрут до сайту.
Кілька відвідувачів приходять з однієї публічної адреси. Це відповідає офісному шлюзу NAT. Це також відповідає спільному прямому проксі. Сама адреса не вибирає між ними.
NAT змінює відомості про адресу вздовж шляху. Прямий проксі приймає з'єднання і встановлює наступне. Це різні механізми, але призначення бачить з'єднання, які до нього доходять, а не повний перелік мережевого обладнання клієнта.
Поле Via в HTTP може дати свідчення наявності HTTP-посередників. Його відсутність варто читати вужче: цей запит не розкрив таку ознаку цьому спостерігачеві. Заголовки можуть бути недостовірними, вилученими або недоступними всередині звичайного наскрізного тунелю TLS. Бази репутації IP дають інший вид свідчень, зі своїм охопленням і віком.
Тому «проксі не виявлено» в перевірці — не схема мережі. Він також не може засвідчити, що будь-який інший сайт дійде того самого висновку.
Якщо ви обслуговуєте клієнта або мережу, поєднайте спостереження кінцевої точки з фактичними налаштуваннями застосунку, конфігурацією шлюзу та відповідними записами про з'єднання. Якщо ви обслуговуєте лише сайт, опишіть, що підтверджують ваші сигнали, і залиште місце для невизначеності.
Для контролю доступу вирішіть, що потрібно захищати. Спільна адреса може бути корисною для грубого обмеження частоти, але погано замінює одну людину. Назвати її NAT або проксі — не означає розв'язати проблему особи.