Bron-NAT verberg kliëntadresse vir 'n latere firewall

'n Reël wat vir personeel- en labkliënte geskryf is, gaan op die nuwe randfirewall en pas stilweg op alles of niks. Die rede lê stroomop: 'n gwad het reeds die kliëntadresse herskryf, so die reël sien een transito-adres in plaas van twee groepe. Die byvoeging van 'n toestel herstel nie die inligting wat die pad verwyder het nie. Vind die laaste punt waar die onderskeid nog bestaan voordat jy die beleid skryf.

Waarom die randreël een adres sien

Baie-tot-een-vertaling karteer elke interne adres en poort-tupel na 'n gedeelde eksterne adres met 'n toegewysde poort. Gesprekke bly vir die vertaler onderskeibaar deur daardie poortbindings, maar 'n stroomaf-toestel wat 'n eenvoudige bronvoorvoegsel-passing doen, sien net die gedeelde adres. Dit is genoeg om twee groepe by die reël identies te maak. Die pakkette kom steeds aan; die groepering nie.

Kontroleer wat die firewall se koppelvlak werklik sien, nie wat die diagram belowe nie. Die twee verskil dikwels meer as wat enigiemand verwag.

Vind die laaste afdwingbare identiteit

Begin by die afdwingpunt en stap agteruit tot die oorspronklike voorvoegsel verskyn. Twee opdragte vind gewoonlik die grens.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Die NAT-tabel wys watter verkeer vertaal word en deur watter reël, terwyl die conntrack-lys oorspronklike en vertaalde tupels vir lewende vloei wys. Waar die stroomop-firewall net ooit die vertaalde adres sien, kan bronreëls per groep daar nie werk nie, maak nie saak hoe hulle geskryf word nie. Stap vorentoe of agtertoe langs die pad tot jy 'n toestel bereik waarop die twee kliëntvoorvoegsels onderskeibaar bly. Teken die bron by elke hop aan eerder as om 'n binne- of buite-etiket te vertrou.

Drie plasings en wat elkeen kos

Die beleid kan op die vertalende gwad woon, waar die oorspronklike bronne nog sigbaar is. Dit kan op die stroomop-firewall woon as die transito gerouteer eerder as vertaal word, wat beteken om terugroetes by te voeg en die bronherskrywing te verwyder. Of dit kan op identiteit eerder as adresse afgedwing word, deur 'n geauthentiseerde beheer wat die gebruiker of toestel ken. Elke keuse het 'n eienaar en 'n foutmodus, en net die eerste twee hou die reël suiwer oor bronadresse.

Watter een jy ook kies, dokumenteer die reël saam met die adres wat dit pas. 'n Reël wie se adresaanname stilweg verander het, is slegter as geen reël nie, want dit pas steeds verkeer terwyl dit iets heeltemal anders beskerm.

Aanvaarding: een toegelate en een geweierde kliënt

Toets met 'n paar kliënte, een uit elke groep, en vang vas hoe elkeen by die afdwingpunt aankom. Hou beide tupels langs die reëluitslag, sodat die bewyse wys die onderskeid het behoue gebly eerder as dat daar nog 'n firewall bestaan. Herhaal die toets ná 'n NAT- of roeteverandering, want die aangebode adres is die deel wat stilweg breek. Hou verifikasie in plek oral waar mense onderskei moet word, aangesien 'n bronadres 'n beleidsinset is eerder as 'n bewys van identiteit.

Skryf die afdwingpunt, die waargenome bron en die reël in die kaartjie. Anders voeg die volgende ingenieur 'n tweede firewall en dieselfde reël by.