সোর্স NAT ক্লায়েন্ট ঠিকানাগুলো পরবর্তী ফায়ারওয়াল থেকে লুকায়

কর্মী ও ল্যাব ক্লায়েন্টদের জন্য লেখা একটি নিয়ম নতুন এজ ফায়ারওয়ালে যায়, আর তা নিঃশব্দে সবকিছুর সঙ্গে মেলে বা কিছুর সঙ্গেই মেলে না। কারণ উপরের দিকে: একটি গেটওয়ে ইতিমধ্যে ক্লায়েন্ট ঠিকানা পুনর্লিখন করেছে, তাই নিয়মটি দুই গ্রুপের বদলে একটি ট্রানজিট ঠিকানা দেখে। একটি যন্ত্র যোগ করলে পথ যে তথ্য সরিয়েছে তা ফিরে আসে না। নীতি লেখার আগে যে শেষ বিন্দুতে পার্থক্য এখনও আছে তা খুঁজুন।

কেন এজ নিয়ম একটি ঠিকানা দেখে

অনেক-থেকে-এক অনুবাদ প্রতিটি অভ্যন্তরীণ ঠিকানা ও পোর্ট জোড়াকে নির্ধারিত পোর্টসহ একটি ভাগ করা বাহ্য ঠিকানায় মাপায়। সেই পোর্ট বাঁধনের মাধ্যমে কথোপকথন অনুবাদকের কাছে আলাদা থাকে, তবে সাধারণ সোর্স-প্রিফিক্স মিল করা নিচের যন্ত্রটি কেবল ভাগ করা ঠিকানাটিই দেখে। নিয়মের কাছে দুই গ্রুপকে এক করে দিতে এটি যথেষ্ট। প্যাকেট আসতে থাকে; গ্রুপিং আসে না।

ডায়াগ্রাম যা প্রতিশ্রুতি দেয় তা নয়, ফায়ারওয়ালের ইন্টারফেস সত্যিই কী দেখে তা যাচাই করুন। দুটো প্রায়ই প্রত্যাশার চেয়ে বেশি আলাদা হয়।

শেষ প্রয়োগযোগ্য পরিচয় খুঁজুন

প্রয়োগ বিন্দু থেকে শুরু করে পেছনে হাঁটুন যতক্ষণ মূল প্রিফিক্স দেখা না যায়। সাধারণত দুটি কমান্ড সীমানা খুঁজে দেয়।

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT টেবিল দেখায় কোন ট্রাফিক ও কোন নিয়মে অনূদিত হয়, আর conntrack তালিকা চলমান প্রবাহের মূল ও অনূদিত জোড়া দেখায়। যেখানে উপরের ফায়ারওয়াল কেবল অনূদিত ঠিকানাই দেখে, সেখানে গ্রুপভিত্তিক সোর্স নিয়ম যেভাবেই লেখা হোক কাজ করতে পারে না। পথ ধরে সামনে বা পেছনে হাঁটুন যতক্ষণ এমন যন্ত্রে না পৌঁছান যেখানে দুই ক্লায়েন্ট প্রিফিক্স আলাদা থাকে। ভেতরে বা বাইরে লেবেল বিশ্বাস না করে প্রতিটি হপে সোর্স লিখে রাখুন।

তিনটি স্থাপনা এবং প্রতিটির মূল্য

নীতিটি অনুবাদকারী গেটওয়েতে থাকতে পারে, যেখানে মূল সোর্স এখনও দৃশ্যমান। এটি উপরের ফায়ারওয়ালে থাকতে পারে যদি ট্রানজিট অনূদিত না হয়ে রুটেড হয়, যার মানে ফেরত রুট যোগ করা ও সোর্স পুনর্লিখন সরানো। অথবা এটি ঠিকানার বদলে পরিচয়ের উপর প্রয়োগ করা যায়, এমন একটি প্রমাণিত নিয়ন্ত্রণের মাধ্যমে যা ব্যবহারকারী বা যন্ত্র জানে। প্রতিটি বিকল্পের একটি মালিক ও একটি ব্যর্থতার ধরন থাকে, আর কেবল প্রথম দুটি নিয়মটিকে শুধু সোর্স ঠিকানা নিয়ে রাখে।

যেটিই বেছে নিন, নিয়মটি যে ঠিকানার সঙ্গে মেলে তার সঙ্গে নথিভুক্ত করুন। যে নিয়মের ঠিকানা-ধারণা নিঃশব্দে বদলে গেছে তা নিয়ম না থাকার চেয়েও খারাপ, কারণ এটি সম্পূর্ণ অন্য কিছু রক্ষা করতে করতে ট্রাফিকের সঙ্গে মিলতে থাকে।

গ্রহণযোগ্যতা: একজন অনুমোদিত ও একজন প্রত্যাখ্যাত ক্লায়েন্ট

প্রতি গ্রুপ থেকে একজন করে দুই ক্লায়েন্ট নিয়ে পরীক্ষা করুন এবং প্রত্যেকে প্রয়োগ বিন্দুতে কীভাবে পৌঁছায় তা ধরে রাখুন। দুই জোড়াই নিয়মের ফলাফলের পাশে রাখুন, যাতে প্রমাণ দেখায় পার্থক্য টিকে গেছে, অন্য কোনো ফায়ারওয়াল আছে তা নয়। NAT বা রাউটিং পরিবর্তনের পরে পরীক্ষা পুনরাবৃত্তি করুন, কারণ উপস্থাপিত ঠিকানাই সেই অংশ যা নিঃশব্দে ভাঙে। যেখানে মানুষকে আলাদা করতে হবে সেখানে প্রমাণীকরণ রাখুন, কারণ সোর্স ঠিকানা নীতির ইনপুট, পরিচয়ের প্রমাণ নয়।

প্রয়োগ বিন্দু, পর্যবেক্ষিত সোর্স ও নিয়ম টিকিটে লিখুন। নইলে পরের প্রকৌশলী আরেকটি ফায়ারওয়াল ও একই নিয়ম যোগ করবেন।