Jump to content

Вычисление заNATченой сети


Recommended Posts

Точно не знаю как, но, например, форум invisionboard сохраняет в логах сообщений не внешний ip адрес написавшего, а внутренний.

Т.е. можно написать такую страничку или скрипт, при заходе на который, будет показан его внутренний адрес.

Link to post
Share on other sites

Для начала надо определится чем запросы от заNATченой сети отличаются от просто клиента.

 

Во первых большое кол-во TCP подключений.

Несколько соединений по порту ICQ(5190).

 

Ну и далее можно подумать..

Link to post
Share on other sites

TCP-подключения - это не доказательство. Это просто факт, который наталкивает на размышления. Вопрос, можно ли достоверно определить, что за вот таким-то хостом кроется замаскированная сеть?

Link to post
Share on other sites

как вариант можно юзать пхп. Например в любой сети есть вебсайт который почти все посещают. (например видео архив или форум)

99% что туда будут ходить из-за НАТа.... Нужно всего лишь писать в базу пары аресов "внешний"-"внутрений". После на основе этого я думаю можно доказать....

Link to post
Share on other sites
как вариант можно юзать пхп. Например в любой сети есть вебсайт который почти все посещают. (например видео архив или форум). 99% что туда будут ходить из-за НАТа.... Нужно всего лишь писать в базу пары аресов "внешний"-"внутрений". После на основе этого я думаю можно доказать....

Это если через проксю.

Соответственно, $REMOTE_ADDR и $X_HTTP_FORWARDED_FOR

 

В предлагаемом Вами варианте пара будет "айпишка_вашей_сетки"-""

Link to post
Share on other sites
мы делаем проще, ставим ТТЛ = 1

Какими средствами?..

Насколько я понимаю это можно сделать фаерволом

например iptables

Link to post
Share on other sites

Кстати мысль с ТТЛ = 1 очень здравая.

Но... если шлюз для заначеной сети собирали прошаренные люди, то они могли настроить шлюз так, чтоб он не уменьшал TTL у пакетов.

 

Хотя это тоже средство, которое, как и айпишник на сайте, может однозначно указать, что там не 1 компьютер, а сеть.

Link to post
Share on other sites
  • 7 months later...
мы делаем проще, ставим ТТЛ = 1

Какими средствами?..

на freebsd изменить ttl есть возможность так:

sysctl -w net.inet.ip.ttl=127

или вбить вот сюда:

echo "net.inet.ip.ttl=127" >> /etc/sysctl.conf

также произвести некоторые манипуляции с пингом (по вкусу):

net.inet.icmp.icmplim=50
net.inet.icmp.drop_redirect=1
net.inet.icmp.log_redirect=1
net.inet.icmp.maskrepl=0
net.inet.icmp.bmcastecho=0

и на последок небольшой тюннинг сети (для любителей nmap - подарок):

net.inet.tcp.delayed_ack=0
net.inet.tcp.blackhole=2
net.inet.tcp.rfc1644=1
net.inet.tcp.msl=7500
net.inet.udp.blackhole=1

 

и непомешало бы зафильтрячить некоторые icmp типы...

Link to post
Share on other sites
Господа, возможно ли и как выяснить есть ли за хостом клиента заNATченая сеть?

Спасибо.

 

javascript

 

который можно совать во все, что угодно.

 

в том числе и в транзитный трафик.

 

его практически никто никогда не вырубает (иначе 2/3 веб-страниц перестанет работать).

 

 

В качестве примера - http://tools-on.net/privacy.shtml

Link to post
Share on other sites

на freebsd изменить ttl есть возможность так:

sysctl -w net.inet.ip.ttl=127

или вбить вот сюда:

echo "net.inet.ip.ttl=127" >> /etc/sysctl.conf

также произвести некоторые манипуляции с пингом (по вкусу):

net.inet.icmp.icmplim=50
net.inet.icmp.drop_redirect=1
net.inet.icmp.log_redirect=1
net.inet.icmp.maskrepl=0
net.inet.icmp.bmcastecho=0

и на последок небольшой тюннинг сети (для любителей nmap - подарок):

net.inet.tcp.delayed_ack=0
net.inet.tcp.blackhole=2
net.inet.tcp.rfc1644=1
net.inet.tcp.msl=7500
net.inet.udp.blackhole=1

это справделиво для linux?

Link to post
Share on other sites

Там всё несколько по-другому, можно даже сказать, что проще.

Действие TTL используется для изменения содержимого поля Time To Live в IP заголовке. Один из вариантов применения этого действия - это устанавливать значение поля Time To Live ВО ВСЕХ исходящих пакетах в одно и то же значение. Для чего это?! Есть некоторые провайдеры, которые очень не любят, когда одним подключением пользуется несколько компьютеров, если мы начинаем устанавливать на все пакеты одно и то же значение TTL, то тем самым мы лишаем провайдера одного из критериев определения того, что подключение к Интернету разделяется несколькими компьютерами. Для примера можно привести число TTL = 64, которое является стандартным для ядра Linux.

 

За дополнительной информацией по установке значения по-умолчанию обращайтесь к ip-sysctl.txt, который вы найдете в приложении Ссылки на другие ресурсы.

 

Действие TTL можно указывать только в таблице mangle и нигде больше. Для данного действия предусмотрено 3 ключа, описываемых ниже.

 

Таблица 6-24. Действие TTL

Ключ  --ttl-set

Пример  iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-set 64

Описание  Устанавливает поле TTL в заданное значение. Оптимальным считается значение около 64. Это не слишком много, но и не слишком мало Не задавайте слишком большое значение, это может иметь неприятные последствия для вашей сети. Представьте себе, что пакет "зацикливается" между двумя неправильно сконфигурированными роутерами, тогда, при больших значениях TTL, есть риск "потерять" значительную долю пропускной способности канала.

Ключ  --ttl-dec

Пример  iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-dec 1

Описание  Уменьшает значение поля TTL на заданное число. Например, пусть входящий пакет имеет значение TTL равное 53 и мы выполняем команду --ttl-dec 3, тогда пакет покинет наш хост с полем TTL равным 49. Не забывайте, что сетевой код автоматически уменьшит значение TTL на 1, поэтому, фактически мы получаем 53 - 3 - 1 = 49.

Ключ  --ttl-inc

Пример  iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-inc 1

Описание  Увеличивает значение поля TTL на заданное число. Возьмем предыдущий пример, пусть к нам поступает пакет с TTL = 53, тогда, после выполнения команды --ttl-inc 4, на выходе с нашего хоста, пакет будет иметь TTL = 56, не забывайте об автоматическом уменьшении поля TTL сетевым кодом ядра, т.е. фактически мы получаем выражение 53 + 4 - 1 = 56. Увеличение поля TTL может использоваться для того, чтобы сделать наш брандмауэр менее "заметным" для трассировщиков (traceroutes). Программы трассировки любят за ценную информацию при поиске проблемных участков сети, и ненавидят за это же, поскольку эта информация может использоваться крякерами в неблаговидных целях. Пример использования вы можете найти в сценарии Ttl-inc.txt.

Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
  • Recently Browsing   0 members

    No registered users viewing this page.

×
×
  • Create New...