El NAT d'origen amaga les adreces dels clients a un tallafoc posterior

Una regla escrita per a clients del personal i del laboratori es posa al nou tallafoc de vora, i coincideix en silenci amb tot o amb res. La raó és més amunt: una passarel·la ja ha reescrit les adreces dels clients, així que la regla veu una adreça de trànsit en lloc de dos grups. Afegir un aparell no restaura la informació que el camí ha eliminat. Trobeu l'últim punt on la distinció encara existeix abans d'escriure la política.

Per què la regla de vora veu una sola adreça

La traducció de molts a un assigna cada parella d'adreça i port interna a una adreça externa compartida amb un port assignat. Les converses continuen sent distingibles per al traductor gràcies a aquestes vinculacions de port, però un dispositiu posterior que fa una simple coincidència de prefix d'origen només veu l'adreça compartida. Això n'hi ha prou per fer que dos grups siguin idèntics a la regla. Els paquets encara arriben; l'agrupació no.

Comproveu què observa realment la interfície del tallafoc, no què promet el diagrama. Tots dos difereixen més sovint del que ningú espera.

Trobeu l'última identitat aplicable

Comenceu al punt d'aplicació i camineu enrere fins que aparegui el prefix original. Dues ordres solen localitzar la frontera.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

La taula NAT mostra quin trànsit es tradueix i per quina regla, mentre que el llistat de conntrack mostra les tuples originals i traduïdes dels fluxos actius. On el tallafoc anterior només veu mai l'adreça traduïda, les regles d'origen per grup no hi poden funcionar, per molt ben escrites que estiguin. Camineu endavant o enrere pel camí fins a arribar a un dispositiu on els dos prefixos de client continuen sent distints. Anoteu l'origen a cada salt en lloc de confiar en una etiqueta d'interior o d'exterior.

Tres ubicacions i què costa cadascuna

La política pot viure a la passarel·la que tradueix, on els orígens originals encara són visibles. Pot viure al tallafoc anterior si el trànsit es converteix en encaminat en lloc de traduït, cosa que vol dir afegir rutes de retorn i eliminar la reescriptura d'origen. O es pot aplicar a la identitat en lloc de les adreces, mitjançant un control autenticat que coneix l'usuari o el dispositiu. Cada elecció té un propietari i un mode de fallada, i només les dues primeres mantenen la regla purament sobre adreces d'origen.

Triï's el que triï's, documenteu la regla juntament amb l'adreça amb què coincideix. Una regla la suposició d'adreça de la qual ha canviat en silenci és pitjor que cap regla, perquè continua coincidint amb el trànsit mentre protegeix una cosa completament diferent.

Acceptació: un client permès i un de denegat

Proveu amb una parella de clients, un de cada grup, i captureu com arriba cadascun al punt d'aplicació. Conserveu les dues tuples al costat del resultat de la regla, perquè l'evidència mostri que la distinció ha sobreviscut i no que existeix un altre tallafoc. Repetiu la prova després d'un canvi de NAT o d'encaminament, perquè l'adreça presentada és la part que es trenca en silenci. Manteniu l'autenticació allà on cal distingir persones, ja que una adreça d'origen és una entrada de política, no una prova d'identitat.

Escriviu el punt d'aplicació, l'origen observat i la regla al tiquet. Si no, el següent enginyer afegeix un segon tallafoc i la mateixa regla.