NAT на източника скрива клиентските адреси от по-късна защитна стена

Правило, написано за служители и лабораторни клиенти, попада на новата гранична защитна стена и тихо съвпада с всичко или с нищо. Причината е по-горе: шлюз вече е пренаписал клиентските адреси, така че правилото вижда един транзитен адрес вместо две групи. Добавянето на устройство не връща информацията, която пътят е премахнал. Намерете последната точка, в която разликата още съществува, преди да напишете политиката.

Защо граничното правило вижда един адрес

Преобразуването много-към-едно съпоставя всяка вътрешна двойка адрес и порт на споделен външен адрес с определен порт. Разговорите остават различими за преобразувателя чрез тези портови обвързвания, но устройство по-надолу, което прави просто съпоставяне на префикс на източника, вижда само споделения адрес. Това е достатъчно, за да станат две групи еднакви при правилото. Пакетите все още пристигат; групирането — не.

Проверете какво интерфейсът на защитната стена действително наблюдава, а не какво обещава схемата. Двете се различават по-често, отколкото някой очаква.

Намерете последната приложима идентичност

Започнете от точката на налагане и вървете назад, докато се появи оригиналният префикс. Обикновено две команди намират границата.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Таблицата NAT показва кой трафик се преобразува и от кое правило, а списъкът conntrack показва оригиналните и преобразуваните двойки за активни потоци. Там, където горната защитна стена вижда само преобразувания адрес, правила за източник по групи не могат да работят, независимо как са написани. Вървете напред или назад по пътя, докато стигнете до устройство, на което двата клиентски префикса остават различни. Записвайте източника на всеки хоп, вместо да се доверявате на етикет отвътре или отвън.

Три места и какво струва всяко

Политиката може да живее на преобразуващия шлюз, където оригиналните източници все още се виждат. Може да живее на горната защитна стена, ако транзитът стане маршрутизиран, а не преобразуван, което означава добавяне на обратни маршрути и премахване на пренаписването на източника. Или може да се налага върху идентичност, а не върху адреси, чрез удостоверен контрол, който познава потребителя или устройството. Всеки избор има собственик и режим на отказ и само първите два запазват правилото чисто за адреси на източника.

Кое и да изберете, документирайте правилото заедно с адреса, с който съвпада. Правило, чието допускане за адреса тихо се е променило, е по-лошо от липса на правило, защото продължава да съвпада с трафик, докато защитава нещо съвсем друго.

Приемане: един разрешен и един отказан клиент

Тествайте с двойка клиенти, по един от всяка група, и запишете как всеки пристига в точката на налагане. Запазете двете двойки до резултата от правилото, така че доказателството да показва, че разликата е оцеляла, а не че съществува друга защитна стена. Повторете теста след промяна на NAT или маршрутизиране, защото представеният адрес е частта, която се чупи тихо. Пазете удостоверяването навсякъде, където хората трябва да се различават, тъй като адресът на източника е вход за политиката, а не доказателство за идентичност.

Запишете точката на налагане, наблюдавания източник и правилото в заявката. Иначе следващият инженер добавя втора защитна стена и същото правило.