2020-10-09 o 18:08 +0200, SW3 napisał:
> On 09.10.2020 11:43, Mateusz Viste wrote:
> > Otóż nie, niczego takiego nie robi. Zapewne niektóre implementacje
> > dodają do worka "NAT" jakiś firewallopodobny twór, ale nie jest to
> > NAT. Rozważ poniższy schemat.
> >
> > 10.0.0.2 ---- 10.0.0.1/8 [NATBOX] 1.2.3.4/24 ----------- 1.2.3.3
> >
> > 1.2.3.3 wysyła do 1.2.3.4 ramkę zawierającą pakiet IP z src=1.2.3.3
> > i dst=10.0.0.2. W takiej sytuacji router NATBOX bez zająknięcia
> > przekaże pakiet (w nowej ramce) do 10.0.0.2. No chyba, że NATBOX ma
> > również jakieś ACLe, ale w takim razie nie mówimy już o NAT tylko o
> > filtrowaniu.
>
> Zakładając, że takie coś jest możliwe (NATBOX przekaże) to jest
> możliwe tylko dla urządzenia podłączonego bezpośrednio do NATBOXa.

Niekoniecznie bezpośrednio podłączony (w sensie fizycznym), ale w tym
samym segmencie ethernetowym, tak.

> dość mocno ogranicza możliwość ataku.

Oczywiście - wątek dotyczył sąsiadów, którym najwyraźniej ISP
przypisał taką samą sieć WAN. To praktyka pozwalająca oszczędnie
gospodarować adresami. Też tak miałem (i też widziałem pakiety sąsiada,
i mogłem pingować jego "prywatne" hosty za NATem).

Mateusz