A forrás-NAT elrejti az ügyfélcímeket egy későbbi tűzfaltól

A személyzeti és laborügyfeleknek írt szabály az új peremtűzfalra kerül, és csendesen mindenre vagy semmire illeszkedik. Az ok feljebb van: egy átjáró már átírta az ügyfélcímeket, ezért a szabály egy tranzitcímet lát két csoport helyett. Egy eszköz hozzáadása nem állítja vissza az útvonal által eltávolított információt. Keresse meg az utolsó pontot, ahol a megkülönböztetés még létezik, mielőtt megírja a házirendet.

Miért lát egyetlen címet a peremszabály

A sok-az-egyhez fordítás minden belső cím- és portpárt egy megosztott külső címhez rendel hozzá egy kiosztott porttal. A beszélgetések a fordító számára megkülönböztethetők maradnak ezeken a portkötéseken keresztül, de egy lejjebb lévő eszköz, amely egyszerű forrás-előtag egyeztetést végez, csak a megosztott címet látja. Ez elég ahhoz, hogy két csoport azonos legyen a szabálynál. A csomagok továbbra is megérkeznek; a csoportosítás nem.

Ellenőrizze, mit figyel meg valójában a tűzfal interfésze, ne azt, amit az ábra ígér. A kettő gyakrabban tér el, mint bárki várná.

Keresse meg az utolsó kikényszeríthető identitást

Kezdjen a kikényszerítési pontnál, és haladjon visszafelé, amíg az eredeti előtag meg nem jelenik. Két parancs általában megtalálja a határt.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

A NAT-tábla megmutatja, mely forgalom és melyik szabály szerint fordul, míg a conntrack lista az aktív folyamok eredeti és lefordított párjait mutatja. Ahol a felsőbb tűzfal mindig csak a lefordított címet látja, ott a csoportonkénti forrás-szabályok nem működhetnek, akárhogy is írják őket. Haladjon előre vagy hátra az útvonalon, amíg olyan eszközhöz nem ér, ahol a két ügyfél-előtag megkülönböztethető marad. Jegyezze fel a forrást minden ugrásnál, ahelyett hogy belső vagy külső címkében bízna.

Három elhelyezés és mindegyik ára

A házirend élhet a fordító átjárón, ahol az eredeti források még láthatók. Élhet a felsőbb tűzfalon, ha a tranzit fordítás helyett útválasztottá válik, ami visszairányú útvonalak hozzáadását és a forrás átírásának eltávolítását jelenti. Vagy kikényszeríthető identitáson a címek helyett, egy hitelesített vezérlésen keresztül, amely ismeri a felhasználót vagy az eszközt. Minden választásnak van tulajdonosa és hibaállapota, és csak az első kettő tartja a szabályt tisztán forráscímekről.

Bármelyiket választja, dokumentálja a szabályt azzal a címmel együtt, amelyre illeszkedik. Egy szabály, amelynek címfeltevése csendesen megváltozott, rosszabb a semmilyen szabálynál, mert továbbra is forgalomra illeszkedik, miközben valami egészen mást véd.

Elfogadás: egy engedélyezett és egy megtagadott ügyfél

Teszteljen egy ügyfélpárral, minden csoportból egyet-egyet, és rögzítse, hogyan érkezik mindegyik a kikényszerítési ponthoz. Őrizze meg mindkét párt a szabály eredménye mellett, hogy a bizonyíték a megkülönböztetés fennmaradását mutassa, ne egy másik tűzfal létezését. Ismételje meg a tesztet NAT- vagy útválasztás-változás után, mert a bemutatott cím az a rész, amely csendesen elromlik. Tartsa fenn a hitelesítést mindenhol, ahol az embereket meg kell különböztetni, mivel a forráscím házirendi bemenet, nem identitásbizonyíték.

Írja be a kikényszerítési pontot, a megfigyelt forrást és a szabályt a jegybe. Ellenkező esetben a következő mérnök hozzáad egy második tűzfalat és ugyanazt a szabályt.