Աղբյուրի NAT-ը թաքցնում է հաճախորդների հասցեները հետագա անվտանգության պատից

Աշխատակիցների և լաբորատորիայի հաճախորդների համար գրված կանոնը տեղադրվում է նոր եզրային անվտանգության պատի վրա, և այն լուռ համապատասխանում է ամեն ինչին կամ ոչնչին։ Պատճառը վերևում է՝ դարպասն արդեն վերագրել է հաճախորդների հասցեները, ուստի կանոնը տեսնում է մեկ տրանզիտ հասցե՝ երկու խմբի փոխարեն։ Սարք ավելացնելը չի վերականգնում այն տեղեկությունը, որը ճանապարհը հեռացրել է։ Գտեք վերջին կետը, որտեղ տարբերությունը դեռ գոյություն ունի, նախքան քաղաքականությունը գրելը։

Ինչու է եզրային կանոնը տեսնում մեկ հասցե

Շատ-ից-մեկ թարգմանությունը յուրաքանչյուր ներքին հասցեի և պորտի զույգը քարտեզագրում է ընդհանուր արտաքին հասցեի՝ նշանակված պորտով։ Զրույցները թարգմանիչի համար տարբերելի են մնում այդ պորտային կապերի միջոցով, սակայն ներքևում գտնվող սարքը, որը կատարում է պարզ աղբյուր-նախածանցի համապատասխանեցում, տեսնում է միայն ընդհանուր հասցեն։ Դա բավական է, որպեսզի երկու խմբերը կանոնի մոտ նույնական լինեն։ Փաթեթները դեռ գալիս են, խմբավորումը՝ ոչ։

Ստուգեք, թե ինչ է իրականում դիտարկում անվտանգության պատի ինտերֆեյսը, ոչ թե ինչ է խոստանում սխեման։ Երկուսը տարբերվում են ավելի հաճախ, քան որևէ մեկը սպասում է։

Գտեք վերջին կիրառելի ինքնությունը

Սկսեք կիրառման կետից և գնացեք հետևից, մինչև բուն նախածանցը հայտնվի։ Սովորաբար երկու հրաման են գտնում սահմանը։

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT աղյուսակը ցույց է տալիս, թե որ երթևեկությունն է թարգմանվում և որ կանոնով, մինչդեռ conntrack ցանկը ցույց է տալիս ակտիվ հոսքերի բուն և թարգմանված զույգերը։ Այնտեղ, որտեղ վերին անվտանգության պատը միշտ տեսնում է միայն թարգմանված հասցեն, խմբով աղբյուրի կանոնները չեն կարող աշխատել, ինչպես էլ որ դրանք գրված լինեն։ Անցեք առաջ կամ հետ՝ ուղու երկայնքով, մինչև հասնեք սարքի, որտեղ հաճախորդի երկու նախածանցները մնում են տարբեր։ Գրանցեք աղբյուրը յուրաքանչյուր ցատկում՝ ներքին կամ արտաքին պիտակին վստահելու փոխարեն։

Երեք տեղաբաշխում և դրանցից յուրաքանչյուրի արժեքը

Քաղաքականությունը կարող է ապրել թարգմանի դարպասի վրա, որտեղ բուն աղբյուրները դեռ տեսանելի են։ Այն կարող է ապրել վերին անվտանգության պատի վրա, եթե տրանզիտը դառնում է երթուղավորված, այլ ոչ թե թարգմանված, ինչը նշանակում է ավելացնել վերադարձի երթուղիներ և հեռացնել աղբյուրի վերագրումը։ Կամ այն կարող է կիրառվել ինքնության, այլ ոչ թե հասցեների վրա՝ հաստատված կառավարման միջոցով, որը ճանաչում է օգտատիրոջը կամ սարքին։ Յուրաքանչյուր ընտրություն ունի սեփականատեր և ձախողման եղանակ, և միայն առաջին երկուսն են պահում կանոնը զուտ աղբյուրի հասցեների մասին։

Ինչ էլ ընտրեք, փաստաթղթավորեք կանոնը այն հասցեի հետ միասին, որին այն համապատասխանում է։ Կանոնը, որի հասցեի ենթադրությունը լուռ փոխվել է, ավելի վատ է, քան առանց կանոնը, որովհետև այն շարունակում է համապատասխանել երթևեկությանը՝ պաշտպանելով բոլորովին այլ բան։

Ընդունում՝ մեկ թույլատրված և մեկ մերժված հաճախորդ

Փորձարկեք հաճախորդների զույգով՝ մեկը յուրաքանչյուր խմբից, և ֆիքսեք, թե ինչպես է յուրաքանչյուրը հասնում կիրառման կետին։ Պահեք երկու զույգերն էլ կանոնի արդյունքի կողքին, որպեսզի ապացույցը ցույց տա, որ տարբերությունը պահպանվել է, այլ ոչ թե կա ևս մեկ անվտանգության պատ։ Կրկնեք թեստը NAT-ի կամ երթուղավորման փոփոխությունից հետո, որովհետև ներկայացված հասցեն այն մասն է, որը լուռ կոտրվում է։ Պահպանեք նույնականացումը այնտեղ, որտեղ մարդկանց պետք է տարբերել, քանի որ աղբյուրի հասցեն քաղաքականության մուտք է, ոչ թե ինքնության ապացույց։

Գրեք կիրառման կետը, դիտարկված աղբյուրը և կանոնը տոմսի մեջ։ Հակառակ դեպքում հաջորդ ինժեները կավելացնի երկրորդ անվտանգության պատ և նույն կանոնը։