Boarne-NAT ferberget kliïntadressen foar in lettere brânmuorre

In regel skreaun foar personiels- en labkliïnten giet op de nije rântebrânmuorre, en hy past stil by alles of by neat. De reden leit stroomop: in poarte hat de kliïntadressen al oerskreaun, sadat de regel ien transytadres sjocht yn plak fan twa groepen. It tafoegjen fan in apparaat helpt de ynformaasje dy't it paad fuorthelle hat net werom. Fyn it lêste punt wêr't it ferskil noch bestiet foardat jo it belied skriuwe.

Wêrom't de rântregel ien adres sjocht

Mani-oan-ien-oersetting bynt elk yntern adres- en poartpear oan in dielde eksterne adres mei in tawiisd poarte. Petearen bliuwe foar de oersetter ûnderskiedber troch dy poartbiningen, mar in apparaat stroomôf dat in ienfâldige boarneprefiks-oerienkomst docht, sjocht allinnich de dielde adres. Dat is genôch om twa groepen by de regel identyk te meitsjen. De pakketten komme noch altyd oan; de groepearring net.

Kontrolearje wat de ynterface fan 'e brânmuorre wirklik waarnimt, net wat it diagram ûnthjit. De twa ferskille faker as dat immen ferwachtet.

Fyn de lêste hanthavenbere identiteit

Begjin by it hanthaveningspunt en rin efterút oant it oarspronklike prefiks ferskynt. Twa opdrachten fine meastentiids de grins.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

De NAT-tabel lit sjen hokker ferkear oersetten wurdt en troch hokker regel, wylst de conntrack-list oarspronklike en oersetten pearen foar libbene streams lit sjen. Wêr't de brânmuorre stroomop altyd allinnich de oersetten adres sjocht, kinne boarneregels per groep dêr net wurkje, hoe't se ek skreaun binne. Rin foarút of efterút lâns it paad oant jo in apparaat berikke wêr't de twa kliïntprefiksen ûnderskiedber bliuwe. Registrearje de boarne by elke hop ynstee fan te fertrouwen op in binnen- of bûtenlabel.

Trije plakken en wat elk kostet

It belied kin op 'e oersettende poarte wenje, wêr't de oarspronklike boarnen noch sichtber binne. It kin op 'e brânmuorre stroomop wenje as it transyt rûte ynstee fan oersetten wurdt, wat betsjut dat weromrûtes tafoege wurde en de boarne-oerskriuwing fuorthelle wurdt. Of it kin hanthavene wurde op identiteit ynstee fan adressen, fia in autentisearre kontrôle dy't de brûker of it apparaat ken. Elke kar hat in eigner en in flatermodus, en allinnich de earste twa hâlde de regel suver oer boarneadressen.

Hokker jo ek kieze, dokumintearje de regel tegearre mei de adres dy't er past. In regel wêrfan't de adresoanname stil feroare is, is minder as gjin regel, want hy past noch altyd by ferkear wylst er hiel wat oars beskermet.

Akseptaasje: ien tastiene en ien wegere kliïnt

Test mei in pear kliïnten, ien út elke groep, en fêstigje hoe't elk by it hanthaveningspunt oankomt. Hâld beide pearen njonken it regelresultaat, sadat it bewiis sjen lit dat it ferskil oerlibbe hat, net dat der in oare brânmuorre bestiet. Werhelje de test nei in NAT- of rûteferoaring, want de presintearre adres is it diel dat stil brekt. Hâld autentikaasje yn plak wêr't minsken ûnderskieden wurde moatte, om't in boarneadres in beliedsynput is, gjin bewiis fan identiteit.

Skriuw it hanthaveningspunt, de waarnommen boarne en de regel yn de ticket. Oars foeget de folgjende yngenieur in twadde brânmuorre en deselde regel ta.