NAT zdroje skrývá adresy klientů před pozdější ochrannou branou

Pravidlo napsané pro zaměstnance a laboratorní klienty se nasadí na novou okrajovou ochrannou bránu a tiše odpovídá všemu, nebo ničemu. Důvod je výš: brána už přepsala adresy klientů, takže pravidlo vidí jednu tranzitní adresu místo dvou skupin. Přidání zařízení neobnoví informaci, kterou cesta odstranila. Najděte poslední místo, kde rozdíl ještě existuje, než napíšete politiku.

Proč okrajové pravidlo vidí jednu adresu

Překlad mnoha na jedno mapuje každou vnitřní dvojici adresy a portu na sdílenou vnější adresu s přiděleným portem. Konverzace zůstávají pro překladač rozlišitelné díky těmto vazbám portů, ale zařízení níže po cestě, které dělá jednoduchou shodu prefixu zdroje, vidí jen sdílenou adresu. To stačí k tomu, aby dvě skupiny byly u pravidla totožné. Pakety stále dorazí; seskupení ne.

Ověřte, co rozhraní ochranné brány skutečně pozoruje, ne co slibuje diagram. Obě se liší častěji, než kdokoli čeká.

Najděte poslední vynutitelnou identitu

Začněte v místě vynucení a jděte zpět, dokud se neobjeví původní prefix. Hranici obvykle najdou dva příkazy.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Tabulka NAT ukazuje, který provoz se překládá a kterým pravidlem, zatímco výpis conntrack ukazuje původní a přeložené dvojice pro živé toky. Tam, kde nadřazená brána vidí vždy jen přeloženou adresu, nemohou pravidla zdroje po skupinách fungovat, ať jsou napsaná jakkoli. Jděte po cestě vpřed nebo vzad, dokud nedojdete k zařízení, na němž dva klientské prefixy zůstávají rozdílné. Zaznamenejte zdroj na každém skoku, místo abyste věřili označení uvnitř nebo vně.

Tři umístění a co každé stojí

Politika může žít na překládající bráně, kde jsou původní zdroje stále viditelné. Může žít na nadřazené bráně, pokud se tranzit stane směrovaným místo překládaným, což znamená přidat zpětné trasy a odstranit přepis zdroje. Nebo ji lze vynutit na identitě místo adres, pomocí autentizovaného řízení, které zná uživatele nebo zařízení. Každá volba má vlastníka a způsob selhání a jen první dvě udržují pravidlo čistě o adresách zdroje.

Ať zvolíte cokoli, zdokumentujte pravidlo spolu s adresou, které odpovídá. Pravidlo, jehož předpoklad o adrese se tiše změnil, je horší než žádné pravidlo, protože dál odpovídá provozu, zatímco chrání něco úplně jiného.

Přijetí: jeden povolený a jeden odmítnutý klient

Testujte s dvojicí klientů, po jednom z každé skupiny, a zachyťte, jak se každý dostane do místa vynucení. Uchovejte obě dvojice vedle výsledku pravidla, aby důkaz ukázal, že rozdíl přežil, a ne že existuje další brána. Test opakujte po změně NAT nebo směrování, protože předkládaná adresa je část, která se tiše láme. Udržujte autentizaci všude, kde je třeba lidi rozlišit, protože adresa zdroje je vstup politiky, ne důkaz identity.

Zapište místo vynucení, pozorovaný zdroj a pravidlo do tiketu. Jinak příští inženýr přidá druhou bránu a stejné pravidlo.