Lähte-NAT peidab kliendi aadressid hilisema tulemüüri eest

Töötajate ja labori klientide jaoks kirjutatud reegel läheb uuele serva tulemüürile ja vastab vaikselt kõigele või mitte millelegi. Põhjus on ülesvoolu: lüüs on kliendi aadressid juba ümber kirjutanud, seega näeb reegel ühte transiitaadressi kahe rühma asemel. Seadme lisamine ei taasta teavet, mille tee eemaldas. Leidke viimane punkt, kus erinevus veel eksisteerib, enne kui poliitika kirjutate.

Miks serva reegel näeb ühte aadressi

Paljud-üheks tõlge vastendab iga sisemise aadressi ja pordi paari ühisele välisaadressile, millel on määratud port. Vestlused jäävad tõlkijale nende pordisidemete kaudu eristatavaks, kuid allavoolu seade, mis teeb lihtsat lähteprefiksi vastet, näeb ainult ühist aadressi. Sellest piisab, et kaks rühma oleksid reegli juures identsed. Paketid jõuavad endiselt kohale; rühmitamine mitte.

Kontrollige, mida tulemüüri liides tegelikult jälgib, mitte mida skeem lubab. Need kaks erinevad sagedamini, kui keegi ootab.

Leidke viimane jõustatav identiteet

Alustage jõustamispunktist ja liikuge tagasi, kuni algne prefiks ilmub. Kaks käsku leiavad tavaliselt piiri.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT-tabel näitab, millist liiklust ja millise reegliga tõlgitakse, samas kui conntrack-loend näitab aktiivsete voogude algseid ja tõlgitud paare. Kus ülesvoolu tulemüür näeb ainult tõlgitud aadressi, ei saa rühmade kaupa lähtepõhised reeglid seal toimida, ükskõik kuidas neid kirjutatakse. Liikuge mööda teed edasi või tagasi, kuni jõuate seadmeni, millel kaks kliendiprefiksit jäävad eristatavaks. Registreerige allikas igal hüppel, selle asemel et usaldada sise- või välissilti.

Kolm paigutust ja mis igaüks maksab

Poliitika võib asuda tõlkival lüüsil, kus algsed allikad on veel nähtavad. See võib asuda ülesvoolu tulemüüril, kui transiit muutub marsruuditud, mitte tõlgitud, mis tähendab tagasiteede lisamist ja lähteümberkirjutuse eemaldamist. Või saab seda jõustada identiteedi, mitte aadresside põhjal autentitud juhtimise kaudu, mis tunneb kasutajat või seadet. Igal valikul on omanik ja rikkerežiim ning ainult kaks esimest hoiavad reegli puhtalt lähteaadresside kohta.

Mida iganes te valite, dokumenteerige reegel koos aadressiga, millega see sobib. Reegel, mille aadressieeldus on vaikselt muutunud, on hullem kui reegli puudumine, sest see sobib endiselt liiklusega, kaitstes samal ajal midagi täiesti muud.

Vastuvõtt: üks lubatud ja üks keelatud klient

Testige kahe kliendiga, üks kummastki rühmast, ja jäädvustage, kuidas kumbki jõustamispunkti jõuab. Hoidke mõlemad paarid reegli tulemuse kõrval, et tõend näitaks, et erinevus püsis, mitte et eksisteerib teine tulemüür. Korrake testi pärast NAT-i või marsruutimise muutust, sest esitatud aadress on osa, mis vaikselt katki läheb. Hoidke autentimine seal, kus inimesi tuleb eristada, kuna lähteaadress on poliitika sisend, mitte identiteedi tõestus.

Kirjutage jõustamispunkt, jälgitud allikas ja reegel pileti sisse. Muidu lisab järgmine insener teise tulemüüri ja sama reegli.