Kilde-NAT skjuler klientadresser for en senere brandmur

En regel skrevet til medarbejder- og labklienter lægges på den nye kantbrandmur, og den matcher lydløst alt eller intet. Årsagen ligger længere fremme: en gateway har allerede omskrevet klientadresserne, så reglen ser én transitadresse i stedet for to grupper. At tilføje en enhed gendanner ikke den information, som stien fjernede. Find det sidste punkt, hvor forskellen stadig findes, før du skriver politikken.

Hvorfor kantreglen ser én adresse

Mange-til-én-oversættelse mapper hvert internt adresse- og portpar til en delt ekstern adresse med en tildelt port. Samtaler forbliver skelnelige for oversætteren gennem disse portbindinger, men en enhed længere nede, der laver en simpel kilde-præfiks-matchning, ser kun den delte adresse. Det er nok til at gøre to grupper identiske ved reglen. Pakkerne ankommer stadig; grupperingen gør ikke.

Kontroller, hvad brandmurens interface faktisk observerer, ikke hvad diagrammet lover. De to er oftere forskellige, end nogen forventer.

Find den sidste håndhævelige identitet

Start ved håndhævelsespunktet, og gå baglæns, indtil det oprindelige præfiks dukker op. To kommandoer lokaliserer normalt grænsen.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT-tabellen viser, hvilken trafik der oversættes, og af hvilken regel, mens conntrack-listen viser oprindelige og oversatte par for aktive flows. Hvor brandmuren længere fremme kun ser den oversatte adresse, kan kildebaserede regler pr. gruppe ikke virke, uanset hvordan de skrives. Gå frem eller tilbage langs stien, indtil du når en enhed, hvor de to klientpræfikser forbliver forskellige. Registrer kilden ved hvert hop i stedet for at stole på et indre eller ydre mærke.

Tre placeringer og hvad hver koster

Politikken kan ligge på den oversættende gateway, hvor de oprindelige kilder stadig er synlige. Den kan ligge på brandmuren længere fremme, hvis transit bliver rutet i stedet for oversat, hvilket betyder at tilføje returruter og fjerne kildeomskrivningen. Eller den kan håndhæves på identitet i stedet for adresser gennem en autentificeret kontrol, der kender brugeren eller enheden. Hvert valg har en ejer og en fejltilstand, og kun de første to holder reglen rent om kildeadresser.

Uanset hvad du vælger, skal du dokumentere reglen sammen med den adresse, den matcher. En regel, hvis adresseantagelse er ændret lydløst, er værre end ingen regel, fordi den bliver ved med at matche trafik, mens den beskytter noget helt andet.

Accept: én tilladt og én afvist klient

Test med et par klienter, én fra hver gruppe, og registrer, hvordan hver af dem ankommer til håndhævelsespunktet. Behold begge par ved siden af reglens resultat, så beviset viser, at forskellen overlevede, og ikke at der findes en anden brandmur. Gentag testen efter en ændring af NAT eller routing, fordi den præsenterede adresse er den del, der brækker lydløst. Behold godkendelse, hvor mennesker skal skelnes, da en kildeadresse er et politikinput, ikke et identitetsbevis.

Skriv håndhævelsespunktet, den observerede kilde og reglen i billetten. Ellers tilføjer den næste ingeniør en anden brandmur og den samme regel.