Το NAT προέλευσης κρύβει τις διευθύνσεις πελατών από μεταγενέστερο τείχος προστασίας

Ένας κανόνας γραμμένος για πελάτες προσωπικού και εργαστηρίου τοποθετείται στο νέο τείχος προστασίας άκρου και ταιριάζει σιωπηλά με τα πάντα ή με τίποτα. Η αιτία βρίσκεται ανάντη: μια πύλη έχει ήδη ξαναγράψει τις διευθύνσεις πελατών, οπότε ο κανόνας βλέπει μία διεύθυνση διέλευσης αντί για δύο ομάδες. Η προσθήκη μιας συσκευής δεν επαναφέρει πληροφορία που αφαίρεσε η διαδρομή. Βρείτε το τελευταίο σημείο όπου η διάκριση υπάρχει ακόμη πριν γράψετε την πολιτική.

Γιατί ο κανόνας άκρου βλέπει μία διεύθυνση

Η μετάφραση πολλών σε ένα αντιστοιχίζει κάθε εσωτερικό ζεύγος διεύθυνσης και θύρας σε μια κοινή εξωτερική διεύθυνση με εκχωρημένη θύρα. Οι συνομιλίες παραμένουν διακριτές για τον μεταφραστή μέσω αυτών των δεσμεύσεων θύρας, αλλά μια συσκευή πιο κάτω που εκτελεί απλή αντιστοίχιση προθέματος προέλευσης βλέπει μόνο την κοινή διεύθυνση. Αυτό αρκεί για να γίνουν δύο ομάδες ίδιες στον κανόνα. Τα πακέτα φτάνουν ακόμη· η ομαδοποίηση όχι.

Ελέγξτε τι παρατηρεί πραγματικά η διεπαφή του τείχους προστασίας, όχι τι υπόσχεται το διάγραμμα. Τα δύο διαφέρουν συχνότερα απ' ό,τι περιμένει κανείς.

Βρείτε την τελευταία εκτελέσιμη ταυτότητα

Ξεκινήστε από το σημείο επιβολής και περπατήστε προς τα πίσω ώσπου να εμφανιστεί το αρχικό πρόθεμα. Δύο εντολές εντοπίζουν συνήθως το όριο.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Ο πίνακας NAT δείχνει ποια κίνηση μεταφράζεται και από ποιον κανόνα, ενώ η λίστα conntrack δείχνει αρχικά και μεταφρασμένα ζεύγη για ενεργές ροές. Όπου το ανάντη τείχος βλέπει μόνο τη μεταφρασμένη διεύθυνση, οι κανόνες προέλευσης ανά ομάδα δεν μπορούν να λειτουργήσουν εκεί, όποια μορφή κι αν έχουν. Περπατήστε μπροστά ή πίσω κατά μήκος της διαδρομής ώσπου να φτάσετε σε συσκευή όπου τα δύο προθέματα πελατών παραμένουν διακριτά. Καταγράψτε την προέλευση σε κάθε άλμα αντί να εμπιστεύεστε μια ετικέτα εσωτερικού ή εξωτερικού.

Τρεις τοποθετήσεις και τι κοστίζει η καθεμία

Η πολιτική μπορεί να ζει στην πύλη που μεταφράζει, όπου οι αρχικές προελεύσεις είναι ακόμη ορατές. Μπορεί να ζει στο ανάντη τείχος αν η διέλευση γίνει δρομολογημένη αντί μεταφρασμένη, που σημαίνει προσθήκη διαδρομών επιστροφής και αφαίρεση της επανεγγραφής προέλευσης. Ή μπορεί να επιβληθεί στην ταυτότητα αντί στις διευθύνσεις, μέσω πιστοποιημένου ελέγχου που γνωρίζει τον χρήστη ή τη συσκευή. Κάθε επιλογή έχει ιδιοκτήτη και τρόπο αστοχίας, και μόνο οι δύο πρώτες κρατούν τον κανόνα καθαρά για διευθύνσεις προέλευσης.

Όποια κι αν διαλέξετε, τεκμηριώστε τον κανόνα μαζί με τη διεύθυνση με την οποία ταιριάζει. Ένας κανόνας του οποίου η παραδοχή διεύθυνσης άλλαξε σιωπηλά είναι χειρότερος από την απουσία κανόνα, γιατί συνεχίζει να ταιριάζει με κίνηση ενώ προστατεύει κάτι εντελώς άλλο.

Αποδοχή: ένας επιτρεπόμενος και ένας απορριφθείς πελάτης

Δοκιμάστε με ένα ζεύγος πελατών, έναν από κάθε ομάδα, και καταγράψτε πώς φτάνει ο καθένας στο σημείο επιβολής. Κρατήστε και τα δύο ζεύγη δίπλα στο αποτέλεσμα του κανόνα, ώστε η απόδειξη να δείχνει ότι η διάκριση επιβίωσε κι όχι ότι υπάρχει άλλο τείχος προστασίας. Επαναλάβετε τη δοκιμή μετά από αλλαγή NAT ή δρομολόγησης, γιατί η διεύθυνση που παρουσιάζεται είναι το μέρος που σπάει σιωπηλά. Διατηρήστε τον έλεγχο ταυτότητας όπου πρέπει να διακρίνονται άνθρωποι, καθώς μια διεύθυνση προέλευσης είναι είσοδος πολιτικής, όχι απόδειξη ταυτότητας.

Γράψτε το σημείο επιβολής, την παρατηρούμενη προέλευση και τον κανόνα στο δελτίο. Αλλιώς ο επόμενος μηχανικός προσθέτει δεύτερο τείχος προστασίας και τον ίδιο κανόνα.