![是否有可能检测 NAT 后面的客户端?](https://linux22.com/image/561966/%E6%98%AF%E5%90%A6%E6%9C%89%E5%8F%AF%E8%83%BD%E6%A3%80%E6%B5%8B%20NAT%20%E5%90%8E%E9%9D%A2%E7%9A%84%E5%AE%A2%E6%88%B7%E7%AB%AF%EF%BC%9F.png)
最近,加州大学欧文分校住宅网络系改变了他们的安全政策包括以下要求:
家用路由器的重新配置
家庭路由器需要禁用 DHCP 功能和网络地址转换 (NAT)。
现在,我只是涉猎了网络协议,但我认为不可能分辨网络上的设备是使用 NAT 的路由器还是只是建立大量连接的客户端,并且 DHCP 完全与操作系统无关。
所以我想知道:除了社会问题之外*,从技术上讲执行这项政策是否可行**?(当然是在大学住宅网络的预算范围内)
我不知道他们是怎么做到的,特别是在必须处理更复杂的用户的网络中,这些用户可能会执行诸如更改其 MAC 地址或修改其浏览器的用户代理字符串之类的操作(并且嗅探这些操作不是特别昂贵吗?)。
另一方面,就像我之前说过的,我只是涉猎过网络协议,所以也许我忽略了一些明显的东西。
* 据推测,在这次政策改变之后,他们现在可以说“好吧,你没有遵守政策,你的工作是找到被感染的计算机并修复它”。
** 据我所知,实际上并非如此。理论上它上周就已生效。
答案1
这可能很难,但并非不可能。例如,如果您看到 Macintosh 和 Windows 浏览器客户端来自同一 IP,则可能是 NAT。或者,如果您经常看到几乎同时对完全不同的网页发出请求(例如,serverfault 和 TMZ),那也可能是一个迹象。或者,ICMP 请求可以以不同的方式“指纹识别” - 例如,一些实现会将某些数据包填充为空,而另一些则不会。请记住,即使他们确实发现有人在做这些事情,这仍然违反政策,因此如果他们发现你这样做,他们仍然可以说“这是违反规则的”。你几乎永远无法通过技术手段完全执行政策决定,但这允许他们说“看,它是违反规则。
答案2
其目的可能更多地是为了减少人们错误地插入设备的机会,然后导致网络重置变得不可用,因为 DHCP 服务器(来自 NAT 路由器)会提供错误的 IP 地址。
TomTom 表示,很难从为多个客户端提供服务的 NAT 中检测出“正常”客户端,但除了更高的同时端口/应用程序连接使用率之外,NAT 配置也往往会表现出更大的网络利用率。如果执行主动网络分析,更多活动网络端口连接和更多带宽利用率的组合可以引起更多关注。
答案3
他们还担心不懂网络的学生会通过 LAN 端口而不是 WAN 端口将路由器插入校园网络。当这种情况发生时,其他学生的计算机可能会从流氓路由器而不是官方路由器获取 DHCP 地址,当然流氓路由器不会提供任何互联网连接(因为它的 WAN 端口没有插入任何东西)。这个问题会让那些认为自己做得对的人感到非常困惑,并给网络部门带来很多支持麻烦。
答案4
是的——从一开始它就是一个荒谬愚蠢的政策。
虽然 NAT 表面上是透明的,但有些事情可以暗示 - 来自一个地址的大量 TCP 连接,某些 NAT 实现的某些行为可以提示所使用的 NAT 实现。
但这是一个非常难玩的游戏——不可靠。
话虽如此,这是一个非常模糊的游戏,我会:* 向他们寄回一份法律文件,声明对我的数据负有全部法律和财务责任,因为他们迫使我放弃标准的安全层(即我的网络无法从外部扫描)。我还会要求部署 500 万美元的保险或保证金。* 寻找另一家供应商,并可能根据合同减少违约租金等。
这是一个很好的例子,说明了为什么人们应该始终拥有单独的互联网连接;)遗憾的是,在美国,你会比欧洲部分地区更原始一些——这里他们只推出 LTE 手机,作为 DSL 等的移动替代品——我只需在几个月内买一个 LTE 路由器,就可以用它们了;)