Fonta NAT kaŝas klientajn adresojn antaŭ posta fajroŝirmilo

Regulo verkita por oficistaj kaj laboratoriaj klientoj iras al la nova randa fajroŝirmilo, kaj ĝi silente kongruas kun ĉio aŭ kun nenio. La kaŭzo kuŝas supre: enirejo jam reskribis la klientajn adresojn, do la regulo vidas unu transitadreson anstataŭ du grupoj. Aldoni aparaton ne restarigas informon, kiun la vojo forigis. Trovu la lastan punkton, kie la distingo ankoraŭ ekzistas antaŭ ol vi skribos la politikon.

Kial la randa regulo vidas unu adreson

Traduko multaj-al-unu mapas ĉiun internan adresan kaj pordan duopon al komuna ekstera adreso kun asignita pordo. Konversacioj restas distingeblaj por la tradukanto per tiuj pordaj ligoj, sed malsupra aparato, kiu faras simplan kongruon de fonta prefikso, vidas nur la komunan adreson. Tio sufiĉas por fari du grupojn identaj ĉe la regulo. La pakoj ankoraŭ alvenas; la grupigo ne.

Kontrolu, kion la interfaco de la fajroŝirmilo efektive observas, ne kion promesas la diagramo. La du malsamas pli ofte ol iu atendas.

Trovu la lastan efektivigeblan identecon

Komencu ĉe la efektiviga punkto kaj iru malantaŭen ĝis la origina prefikso aperas. Du komandoj kutime trovas la limon.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

La NAT-tabelo montras, kiu trafiko estas tradukata kaj per kiu regulo, dum la conntrack-listo montras originajn kaj tradukitajn duopojn por aktivaj fluoj. Kie la supra fajroŝirmilo ĉiam vidas nur la tradukitan adreson, fontaj reguloj laŭ grupo ne povas funkcii, kiel ajn ili estas verkitaj. Iru antaŭen aŭ malantaŭen laŭ la vojo ĝis vi atingos aparaton, sur kiu la du klientaj prefiksoj restas distingaj. Registru la fonton ĉe ĉiu salto anstataŭ fidi etikedon de interno aŭ ekstero.

Tri lokigoj kaj kion ĉiu kostas

La politiko povas loĝi sur la tradukanta enirejo, kie la originaj fontoj ankoraŭ videblas. Ĝi povas loĝi sur la supra fajroŝirmilo, se la transito fariĝas voja kaj ne tradukata, kio signifas aldoni revenajn vojojn kaj forigi la fontan reskribon. Aŭ ĝi povas esti efektivigata sur identeco anstataŭ sur adresoj, per aŭtentikigita kontrolo, kiu konas la uzanton aŭ aparaton. Ĉiu elekto havas posedanton kaj fiaskmanieron, kaj nur la unuaj du tenas la regulon pure pri fontaj adresoj.

Kiun ajn vi elektos, dokumentu la regulon kune kun la adreso, kun kiu ĝi kongruas. Regulo, kies adresa supozo silente ŝanĝiĝis, estas pli malbona ol neniu regulo, ĉar ĝi daŭre kongruas kun trafiko dum ĝi protektas tute alian aferon.

Akcepto: unu permesita kaj unu malakceptita kliento

Testu per paro da klientoj, unu el ĉiu grupo, kaj registru, kiel ĉiu alvenas al la efektiviga punkto. Konservu ambaŭ duopojn apud la regula rezulto, por ke la pruvo montru, ke la distingo pluvivis, ne ke ekzistas alia fajroŝirmilo. Ripetu la teston post ŝanĝo de NAT aŭ vojigo, ĉar la prezentata adreso estas la parto, kiu rompiĝas silente. Tenadu aŭtentikigon tie, kie homoj devas esti distingitaj, ĉar fonta adreso estas politika enigo, ne pruvo de identeco.

Skribu la efektivigan punkton, la observitan fonton kaj la regulon en la bileton. Alie la sekva inĝeniero aldonas duan fajroŝirmilon kaj la saman regulon.