Lähde-NAT piilottaa asiakkaiden osoitteet myöhemmältä palomuurilta

Henkilöstö- ja laboratorioasiakkaille kirjoitettu sääntö viedään uudelle reunapalomuurille, ja se vastaa hiljaa kaikkeen tai ei mihinkään. Syy on ylempänä: yhdyskäytävä on jo kirjoittanut asiakkaiden osoitteet uudelleen, joten sääntö näkee yhden siirto-osoitteen kahden ryhmän sijaan. Laitteen lisääminen ei palauta tietoa, jonka polku poisti. Etsi viimeinen kohta, jossa ero on vielä olemassa, ennen kuin kirjoitat käytännön.

Miksi reunasääntö näkee yhden osoitteen

Moni-yhteen-käännös kartoittaa jokaisen sisäisen osoite- ja porttiparin jaettuun ulkoiseen osoitteeseen, jolla on määritetty portti. Keskustelut pysyvät kääntäjälle erotettavina näiden porttisidosten ansiosta, mutta alempana oleva laite, joka tekee yksinkertaisen lähdeprefiksien täsmäytyksen, näkee vain jaetun osoitteen. Se riittää tekemään kahdesta ryhmästä samanlaiset säännön kohdalla. Paketit saapuvat edelleen; ryhmittely ei.

Tarkista, mitä palomuurin rajapinta todella havainnoi, älä sitä, mitä kaavio lupaa. Ne eroavat useammin kuin kukaan odottaa.

Etsi viimeinen valvottavissa oleva identiteetti

Aloita valvontapisteestä ja kulje taaksepäin, kunnes alkuperäinen prefiksi ilmestyy. Kaksi komentoa paikantaa yleensä rajan.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT-taulu näyttää, mikä liikenne käännetään ja millä säännöllä, kun taas conntrack-luettelo näyttää aktiivisten virtausten alkuperäiset ja käännetyt parit. Siellä missä ylempi palomuuri näkee aina vain käännetyn osoitteen, ryhmäkohtaiset lähdesäännöt eivät voi toimia, kirjoitettiinpa ne miten tahansa. Kulje polkua eteen- tai taaksepäin, kunnes saavut laitteeseen, jossa kaksi asiakasprefiksiä pysyvät erillisinä. Kirjaa lähde jokaisella hypyllä sen sijaan, että luotat sisä- tai ulkotunnisteeseen.

Kolme sijoituspaikkaa ja mitä kukin maksaa

Käytäntö voi olla kääntävässä yhdyskäytävässä, jossa alkuperäiset lähteet ovat vielä näkyvissä. Se voi olla ylemmässä palomuurissa, jos siirrosta tulee reititetty eikä käännetty, mikä tarkoittaa paluureittien lisäämistä ja lähdeuudelleenkirjoituksen poistamista. Tai se voidaan valvoa identiteetin eikä osoitteiden perusteella todennetun ohjauksen kautta, joka tuntee käyttäjän tai laitteen. Jokaisella valinnalla on omistaja ja vikatila, ja vain kaksi ensimmäistä pitävät säännön puhtaasti lähdeosoitteita koskevana.

Minkä valitsetkin, dokumentoi sääntö yhdessä sen osoitteen kanssa, jota se vastaa. Sääntö, jonka osoiteoletus on muuttunut hiljaa, on huonompi kuin ei sääntöä lainkaan, koska se vastaa edelleen liikennettä samalla kun se suojaa jotain aivan muuta.

Hyväksyntä: yksi sallittu ja yksi hylätty asiakas

Testaa asiakasparilla, yksi kummastakin ryhmästä, ja tallenna, miten kukin saapuu valvontapisteeseen. Säilytä molemmat parit säännön tuloksen vieressä, jotta todiste osoittaa eron säilyneen eikä sitä, että toinen palomuuri on olemassa. Toista testi NAT- tai reititysmuutoksen jälkeen, koska esitetty osoite on se osa, joka hajoaa hiljaa. Pidä todennus voimassa kaikkialla, missä ihmisiä on eroteltava, sillä lähdeosoite on käytännön syöte, ei todiste identiteetistä.

Kirjoita valvontapiste, havaittu lähde ja sääntö tikettiin. Muuten seuraava insinööri lisää toisen palomuurin ja saman säännön.