Web Sunucularında Lokal IP Adresi Açığa Çıkarma Güvenlik Problemi

NAT (Network Address Translation) uygulanan sistemlerde web sunucusu üzerindeki IP adresi ile dış dünyadan gözüken IP adresi farklı olmaktadır. Normalde NAT uygulanan sistemlerde yerel ağda kullanılan IP adreslerinin dış dünyadan görülmesi mümkün değildir. Bazı web sunucuları HTTP 1.0 istekleri için ürettikleri 302 veya 301 Redirect mesajları ile üzerindeki IP adresini dış dünyaya yollayabilmektedir. Bu durumda yetkisiz kullanıcılar iç tarafta kullandığımız IP adresleri konusunda bilgi sahibi olabilirler.

Çözüm olarak , web sunucusunun bu tip isteklerde ip adresi yerine FQDN bilgisini geriye döndürecek şekilde ayarlanması gerekmektedir.

Nginx tabanlı web sunucularda ise yapılandırma dosyası içine “server_name_in_redirect on” ifadesi eklenerek, yönlendirme durumlarında lokal ip adresi yerine sunucuya ait hostname bilgisinin gösterilmesi sağlanabilmektedir. Lokal Domain isimlerin ortaya çıkmasını engellemek için ise konfigürasyon ayarlarının düzeltilmesi gerekmektedir.