NAT izvora skriva adrese klijenata od kasnijeg vatrozida

Pravilo napisano za osoblje i laboratorijske klijente ide na novi rubni vatrozid i tiho odgovara svemu ili ničemu. Razlog je uzvodno: pristupnik je već prepisao adrese klijenata, pa pravilo vidi jednu tranzitnu adresu umjesto dviju skupina. Dodavanje uređaja ne vraća informaciju koju je put uklonio. Nađite posljednju točku u kojoj razlika još postoji prije pisanja pravila.

Zašto rubno pravilo vidi jednu adresu

Prevođenje više-u-jedno preslikava svaki unutarnji par adrese i porta na zajedničku vanjsku adresu s dodijeljenim portom. Razgovori ostaju razlučivi prevoditelju zahvaljujući tim vezama portova, ali uređaj nizvodno koji radi jednostavno podudaranje prefiksa izvora vidi samo zajedničku adresu. To je dovoljno da dvije skupine postanu identične kod pravila. Paketi i dalje dolaze; grupiranje ne.

Provjerite što sučelje vatrozida zapravo promatra, a ne što dijagram obećava. To dvoje se razlikuje češće nego što itko očekuje.

Nađite posljednji provedivi identitet

Pođite od točke provedbe i hodajte unatrag dok se ne pojavi izvorni prefiks. Dvije naredbe obično pronalaze granicu.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT tablica pokazuje koji se promet prevodi i kojim pravilom, dok conntrack popis pokazuje izvorne i prevedene parove za aktivne tokove. Gdje uzvodni vatrozid uvijek vidi samo prevedenu adresu, pravila izvora po skupini ondje ne mogu raditi bez obzira na to kako su napisana. Hodajte naprijed ili natrag duž puta dok ne dođete do uređaja na kojem dva prefiksa klijenata ostaju različita. Zabilježite izvor na svakom skoku umjesto da vjerujete oznaci iznutra ili izvana.

Tri smještaja i što svaki košta

Pravilo može živjeti na pristupniku koji prevodi, gdje su izvorni izvori još vidljivi. Može živjeti na uzvodnom vatrozidu ako tranzit postane usmjeren umjesto preveden, što znači dodavanje povratnih ruta i uklanjanje prepisivanja izvora. Ili se može provoditi na identitetu umjesto na adresama, kroz autentificiranu kontrolu koja poznaje korisnika ili uređaj. Svaki izbor ima vlasnika i način kvara, a samo prva dva zadržavaju pravilo isključivo o adresama izvora.

Što god odabrali, dokumentirajte pravilo zajedno s adresom na koju se odnosi. Pravilo čija se pretpostavka o adresi tiho promijenila gore je od nikakvog pravila, jer nastavlja odgovarati prometu dok štiti nešto posve drugo.

Prihvat: jedan dopušten i jedan odbijen klijent

Testirajte s parom klijenata, po jednim iz svake skupine, i zabilježite kako svaki stiže na točku provedbe. Sačuvajte oba para uz rezultat pravila, kako bi dokaz pokazao da je razlika preživjela, a ne da postoji još jedan vatrozid. Ponovite test nakon promjene NAT-a ili usmjeravanja, jer je predstavljena adresa dio koji se tiho kvari. Držite autentifikaciju ondje gdje se ljudi moraju razlikovati, jer adresa izvora je ulaz u pravilo, a ne dokaz identiteta.

Upišite točku provedbe, promatrani izvor i pravilo u tiket. Inače sljedeći inženjer dodaje drugi vatrozid i isto pravilo.