ترجمة NAT للمصدر تُخفي عناوين العملاء عن جدار حماية لاحق

قاعدة كُتبت لعملاء الموظفين والمختبر تُثبَّت على جدار الحماية الطرفي الجديد، فتُطابق كل شيء أو لا شيء بصمت. السبب في المنبع: بوابة أعادت كتابة عناوين العملاء بالفعل، فترى القاعدة عنوان عبور واحدًا بدلًا من مجموعتين. وإضافة جهاز لا تعيد المعلومات التي أزالها المسار. اعثر على آخر نقطة لا يزال التمييز فيها قائمًا قبل كتابة السياسة.

لماذا ترى قاعدة الطرف عنوانًا واحدًا

تُسند الترجمة متعددة إلى واحد كل زوج من العنوان الداخلي والمنفذ إلى عنوان خارجي مشترك بمنفذ مُخصَّص. تبقى المحادثات مميزة للمترجم عبر ارتباطات المنافذ هذه، لكن جهازًا لاحقًا يجري مطابقة بسيطة لبادئة المصدر يرى العنوان المشترك فقط. وهذا كافٍ لجعل المجموعتين متطابقتين عند القاعدة. تصل الحزم كما هي؛ لكن التجميع لا يصل.

افحص ما تراقبه واجهة جدار الحماية فعليًا لا ما يَعِده المخطط. فالاثنان يختلفان أكثر مما يتوقع أحد.

اعثر على آخر هوية قابلة للفرض

ابدأ من نقطة الفرض وسِر عكسيًا حتى تظهر البادئة الأصلية. عادةً يكشف أمران الحد.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

يُظهر جدول NAT أي حركة تُترجم وبأي قاعدة، بينما تُظهر قائمة conntrack الأزواج الأصلية والمترجمة للتدفقات الحية. وحيث لا يرى جدار الحماية في المنبع سوى العنوان المترجم، لا يمكن لقواعد المصدر لكل مجموعة أن تعمل هناك مهما كُتبت. سِر للأمام أو للخلف على المسار حتى تصل إلى جهاز تبقى فيه بادئتا العميل متمايزتين. سجّل المصدر عند كل قفزة بدلًا من الوثوق بتسمية داخلية أو خارجية.

ثلاثة مواضع وتكلفة كل منها

يمكن أن تعيش السياسة على البوابة المترجمة حيث تبقى المصادر الأصلية مرئية. ويمكن أن تعيش على جدار الحماية في المنبع إذا صار العبور موجَّهًا بدلًا من مترجم، وهذا يعني إضافة مسارات عودة وإزالة إعادة كتابة المصدر. أو يمكن فرضها على الهوية بدلًا من العناوين عبر ضابط مُصادَق يعرف المستخدم أو الجهاز. لكل خيار مالك ونمط فشل، وأول خيارين فقط يبقيان القاعدة تتعلق بعناوين المصدر وحدها.

أيًا كان اختيارك، وثّق القاعدة مع العنوان الذي تطابقه. فقاعدة تغيّر افتراض عنوانها بصمت أسوأ من عدم وجود قاعدة أصلًا، لأنها تظل تطابق الحركة بينما تحمي شيئًا آخر تمامًا.

القبول: عميل مسموح وعميل مرفوض

اختبر بزوج من العملاء، واحد من كل مجموعة، والتقط كيف يصل كل منهما إلى نقطة الفرض. احتفظ بالزوجين بجانب نتيجة القاعدة، ليثبت الدليل أن التمييز نجا لا أن هناك جدار حماية آخر. أعد الاختبار بعد تغيير NAT أو التوجيه، لأن العنوان المُقدَّم هو الجزء الذي ينكسر بصمت. أبقِ المصادقة قائمة حيثما وجب تمييز الأشخاص، إذ إن عنوان المصدر مُدخل للسياسة لا دليلًا على الهوية.

اكتب نقطة الفرض والمصدر المرصود والقاعدة في التذكرة. وإلا أضاف المهندس التالي جدار حماية ثانيًا والقاعدة نفسها.