[XPurple]

Первым признаком Nat-а является постоянный трафик и разные версии браузеров в статистике прокси-сервера (на прокси-сервере это очень хорошо видно). Так что можно организовать доступ подозреваемой машины через прокси-сервер (в обязательном порядке) и тогда делать выводы.