Mənbə NAT müştəri ünvanlarını sonrakı güvəlik divarından gizlədir

Heyət və laboratoriya müştəriləri üçün yazılmış qayda yeni kənar güvəlik divarına qoyulur və səssizcə hər şeyə və ya heç nəyə uyğun gəlir. Səbəb yuxarı axındadır: şlüz artıq müştəri ünvanlarını yenidən yazıb, ona görə qayda iki qrup əvəzinə bir tranzit ünvanı görür. Cihaz əlavə etmək yolun sildiyi məlumatı bərpa etmir. Siyasəti yazmazdan əvvəl fərqin hələ də qaldığı son nöqtəni tapın.

Kənar qayda niyə bir ünvan görür

Çoxdan-birə tərcümə hər daxili ünvan və port cütünü təyin edilmiş portu olan ortaq xarici ünvana uyğunlaşdırır. Söhbətlər tərcüməçi üçün bu port bağlantıları sayəsində fərqlənə bilir, lakin sadə mənbə-prefiksi uyğunlaşdırması edən aşağı axın cihazı yalnız ortaq ünvanı görür. Bu, qayda səviyyəsində iki qrupu eyni etməyə kifayətdir. Paketlər hələ də gəlir; qruplaşma gəlmir.

Diaqramın vəd etdiyini deyil, güvəlik divarının interfeysinin həqiqətən nə gördüyünü yoxlayın. İkisi gözləniləndən daha tez-tez fərqlənir.

Son tətbiq oluna bilən kimliyi tapın

Tətbiq nöqtəsindən başlayın və orijinal prefiks görünənə qədər geriyə doğru gedin. Sərhədi adətən iki əmr tapır.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT cədvəli hansı trafikin və hansı qaydayla tərcümə olunduğunu göstərir, conntrack siyahısı isə canlı axınlar üçün orijinal və tərcümə olunmuş cütləri göstərir. Yuxarı axındakı güvəlik divarı yalnız tərcümə olunmuş ünvanı görürsə, qrup üzrə mənbə qaydaları orada necə yazılmasından asılı olmayaraq işləyə bilməz. Yol boyu irəli və ya geri gedin və iki müştəri prefiksinin fərqli qaldığı cihaza çatın. Daxili və ya xarici etiketinə güvənmək əvəzinə hər addımda mənbəyi qeyd edin.

Üç yerləşdirmə və hər birinin qiyməti

Siyasət tərcümə edən şlüzün üzərində yaşaya bilər, orada orijinal mənbələr hələ görünür. Yuxarı axındakı güvəlik divarında yaşaya bilər, əgər tranzit tərcümə olunmaq əvəzinə marşrutlaşdırılarsa, bu da geri marşrutlar əlavə etmək və mənbə yenidən yazısını silmək deməkdir. Yaxud ünvanlar əvəzinə kimlik üzərində tətbiq oluna bilər, istifadəçini və ya cihazı tanıyan autentifikasiyalı nəzarət vasitəsilə. Hər seçimin sahibi və uğursuzluq rejimi var və yalnız ilk ikisi qaydanı sırf mənbə ünvanları ilə bağlı saxlayır.

Hansını seçsəniz də, qaydanı uyğun gəldiyi ünvanla birlikdə sənədləşdirin. Ünvan fərziyyəsi səssizcə dəyişmiş qayda heç qayda olmamasından pisdir, çünki trafiki uyğunlaşdırmağa davam edərkən tamam başqa bir şeyi qoruyur.

Qəbul: biri icazəli, biri rədd edilən müştəri

Hər qrupdan bir müştəri olmaqla bir cütlə sınaqdan keçirin və hər birinin tətbiq nöqtəsinə necə çatdığını qeyd edin. Hər iki cütü qayda nəticəsinin yanında saxlayın ki, sübut fərqin qorunduğunu göstərsin, başqa güvəlik divarının mövcudluğunu deyil. NAT və ya marşrut dəyişikliyindən sonra testi təkrarlayın, çünki təqdim olunan ünvan səssizcə pozulan hissədir. İnsanları fərqləndirmək lazım olan hər yerdə autentifikasiyanı saxlayın, çünki mənbə ünvanı kimliyin sübutu deyil, siyasət girişidir.

Tətbiq nöqtəsini, müşahidə olunan mənbəyi və qaydanı bileti yazın. Əks halda növbəti mühəndis ikinci güvəlik divarı və eyni qaydanı əlavə edər.