NAT крыніцы хавае адрасы кліентаў ад наступнага міжсеткавага экрана

Правіла, напісанае для супрацоўнікаў і лабараторных кліентаў, трапляе на новы памежны міжсеткавы экран і моўчкі супадае з усім або ні з чым. Прычына вышэй: шлюз ужо перапісаў адрасы кліентаў, таму правіла бачыць адзін транзітны адрас замест дзвюх груп. Даданне прылады не вяртае інфармацыю, якую выдаліў шлях. Знайдзіце апошні пункт, дзе адрозненне яшчэ існуе, перш чым пісаць палітыку.

Чаму памежнае правіла бачыць адзін адрас

Пераўтварэнне «многія ў адзін» супастаўляе кожную ўнутраную пару адрас-порт агульнаму знешняму адрасу з прызначаным портам. Размовы застаюцца адрознымі для пераўтваральніка дзякуючы гэтым прывязкам портаў, але прылада ніжэй па шляху, якая робіць простае супастаўленне прэфікса крыніцы, бачыць толькі агульны адрас. Гэтага дастаткова, каб дзве групы сталі аднолькавымі на ўзроўні правіла. Пакеты ўсё яшчэ прыходзяць; групаванне — не.

Праверце, што інтэрфейс міжсеткавага экрана фактычна назірае, а не тое, што абяцае схема. Яны адрозніваюцца часцей, чым хто-небудзь чакае.

Знайдзіце апошнюю ідэнтычнасць, якую можна ўжыць

Пачніце з пункта ўжывання і ідзіце назад, пакуль не з'явіцца зыходны прэфікс. Мяжу звычайна знаходзяць дзве каманды.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Табліца NAT паказвае, які трафік пераўтвараецца і якім правілам, а спіс conntrack паказвае зыходныя і пераўтвораныя пары для актыўных патокаў. Там, дзе вышэйшы міжсеткавы экран бачыць толькі пераўтвораны адрас, правілы крыніцы па групах не могуць працаваць, як бы яны ні былі напісаны. Ідзіце наперад або назад па шляху, пакуль не дасягнеце прылады, на якой два прэфіксы кліентаў застаюцца адрознымі. Запісвайце крыніцу на кожным кроку замест таго, каб давяраць пазнацы ўнутраны ці знешні.

Тры размяшчэнні і іх цана

Палітыка можа жыць на шлюзе, які пераўтварае, дзе зыходныя крыніцы яшчэ бачныя. Яна можа жыць на вышэйшым міжсеткавым экране, калі транзіт робіцца маршрутызаваным, а не пераўтвораным, што азначае даданне зваротных маршрутаў і выдаленне перапісвання крыніцы. Або яе можна ўжываць на ідэнтычнасці, а не на адрасах, праз аўтэнтыфікаванае кіраванне, якое ведае карыстальніка ці прыладу. Кожны выбар мае ўладальніка і рэжым адмовы, і толькі першыя два пакідаюць правіла цалкам пра адрасы крыніцы.

Што б вы ні выбралі, дакументуйце правіла разам з адрасам, з якім яно супадае. Правіла, чыё дапушчэнне пра адрас моўчкі змянілася, горш за адсутнасць правіла, бо яно працягвае супадаць з трафікам, ахоўваючы зусім іншае.

Прыёмка: адзін дазволены і адзін адхілены кліент

Праверце на пары кліентаў, па адным з кожнай групы, і зафіксуйце, як кожны дасягае пункта ўжывання. Захавайце абедзве пары побач з вынікам правіла, каб доказ паказаў, што адрозненне захавалася, а не што існуе яшчэ адзін міжсеткавы экран. Паўтарыце тэст пасля змены NAT або маршрутызацыі, бо менавіта прадстаўлены адрас ламаецца моўчкі. Трымайце аўтэнтыфікацыю там, дзе людзей трэба адрозніваць, паколькі адрас крыніцы — гэта ўваход палітыкі, а не доказ ідэнтычнасці.

Запішыце пункт ужывання, назіраную крыніцу і правіла ў заяўку. Інакш наступны інжынер дадасць другі міжсеткавы экран і тое ж правіла.