Mae NAT ffynhonnell yn cuddio cyfeiriadau cleientiaid rhag mur tân diweddarach

Mae rheol a ysgrifennwyd ar gyfer cleientiaid staff a lab yn mynd ar y mur tân ymyl newydd, ac mae'n cyd-fynd yn dawel â phopeth neu â dim. Mae'r rheswm i fyny'r llwybr: mae porth eisoes wedi ailysgrifennu cyfeiriadau'r cleientiaid, felly mae'r rheol yn gweld un cyfeiriad trawslitio yn lle dau grŵp. Nid yw ychwanegu teclyn yn adfer y wybodaeth a dynnodd y llwybr. Darganfyddwch y pwynt olaf lle mae'r gwahaniaeth yn dal i fodoli cyn ysgrifennu'r polisi.

Pam mae'r rheol ymyl yn gweld un cyfeiriad

Mae cyfieithu llawer-i-un yn mapio pob pâr cyfeiriad a phorth mewnol i un cyfeiriad allanol a rennir gyda phorth penodedig. Mae sgyrsiau'n parhau'n wahanadwy i'r cyfieithydd trwy'r rhwymiadau porth hynny, ond mae dyfais i lawr yr afon sy'n gwneud cydweddiad rhagddodiad ffynhonnell syml yn gweld y cyfeiriad a rennir yn unig. Mae hynny'n ddigon i wneud dau grŵp yn union yr un fath wrth y rheol. Mae'r pecynnau'n dal i gyrraedd; nid yw'r grwpio.

Gwiriwch beth y mae rhyngwyneb y mur tân yn ei arsylwi mewn gwirionedd, nid beth mae'r diagram yn ei addo. Mae'r ddau yn gwahaniaethu'n amlach nag y mae unrhyw un yn disgwyl.

Darganfyddwch yr hunaniaeth olaf y gellir ei gorfodi

Dechreuwch yn y pwynt gorfodi a cherddwch yn ôl nes bod y rhagddodiad gwreiddiol yn ymddangos. Mae dau orchymyn fel arfer yn canfod y ffin.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Mae'r tabl NAT yn dangos pa draffig sy'n cael ei gyfieithu a chan ba reol, tra mae'r rhestr conntrack yn dangos parau gwreiddiol a chyfieithiedig ar gyfer ffrydiau byw. Lle nad yw'r mur tân uwch byth yn gweld ond y cyfeiriad cyfieithiedig, ni all rheolau ffynhonnell fesul grŵp weithio yno waeth sut y'u hysgrifennir. Cerddwch ymlaen neu yn ôl ar hyd y llwybr nes i chi gyrraedd dyfais lle mae'r ddau ragddodiad cleient yn parhau'n wahanol. Cofnodwch y ffynhonnell ar bob naid yn lle ymddiried mewn label tu mewn neu du allan.

Tri lleoliad a chost pob un

Gall y polisi fyw ar y porth sy'n cyfieithu, lle mae'r ffynonellau gwreiddiol yn dal i fod yn weladwy. Gall fyw ar y mur tân uwch os daw'r trawslit yn cael ei lwybro yn hytrach na'i gyfieithu, sy'n golygu ychwanegu llwybrau dychwelyd a dileu'r ailysgrifennu ffynhonnell. Neu gellir ei orfodi ar hunaniaeth yn hytrach nag ar gyfeiriadau, trwy reolaeth ddilysedig sy'n adnabod y defnyddiwr neu'r ddyfais. Mae gan bob dewis berchennog a dull methiant, a dim ond y dau gyntaf sy'n cadw'r rheol yn ymwneud yn unig â chyfeiriadau ffynhonnell.

Pa un bynnag a ddewch, dogfennwch y rheol ynghyd â'r cyfeiriad y mae'n cyd-fynd ag ef. Mae rheol y mae ei rhagdybiaeth cyfeiriad wedi newid yn dawel yn waeth na dim rheol o gwbl, oherwydd mae'n dal i gyd-fynd â thraffig tra'n amddiffyn rhywbeth hollol arall.

Derbyn: un cleient a ganiateir ac un a wrthodir

Profwch gyda phâr o gleientiaid, un o bob grŵp, a chofnodwch sut mae pob un yn cyrraedd y pwynt gorfodi. Cadwch y ddau bâr wrth ymyl canlyniad y rheol, fel bod y dystiolaeth yn dangos bod y gwahaniaeth wedi goroesi yn hytrach na bod mur tân arall yn bodoli. Ailadroddwch y prawf ar ôl newid NAT neu lwybro, oherwydd y cyfeiriad a gyflwynir yw'r rhan sy'n torri'n dawel. Cadwch ddilysu yn ei le lle mae'n rhaid gwahaniaethu pobl, gan fod cyfeiriad ffynhonnell yn fewnbwn polisi yn hytrach na phrawf o hunaniaeth.

Ysgrifennwch y pwynt gorfodi, y ffynhonnell a arsylwyd a'r rheol yn y tocyn. Fel arall, bydd y peiriannydd nesaf yn ychwanegu ail fur tân a'r un rheol.