NAT sumber menyembunyikan alamat klien dari firewall berikutnya

Aturan yang ditulis untuk klien staf dan lab dipasang di firewall tepi baru, dan diam-diam cocok dengan semuanya atau tidak sama sekali. Penyebabnya ada di hulu: gateway sudah menulis ulang alamat klien, sehingga aturan hanya melihat satu alamat transit alih-alih dua grup. Menambahkan perangkat tidak memulihkan informasi yang telah dihapus jalur. Temukan titik terakhir tempat perbedaan itu masih ada sebelum menulis kebijakan.

Mengapa aturan tepi melihat satu alamat

Terjemahan banyak-ke-satu memetakan setiap pasangan alamat dan port internal ke satu alamat eksternal bersama dengan port yang ditetapkan. Percakapan tetap dapat dibedakan oleh penerjemah melalui ikatan port tersebut, tetapi perangkat di hilir yang melakukan pencocokan prefiks sumber sederhana hanya melihat alamat bersama itu. Itu cukup untuk membuat dua grup identik di aturan. Paket tetap datang; pengelompokannya tidak.

Periksa apa yang sebenarnya diamati antarmuka firewall, bukan apa yang dijanjikan diagram. Keduanya lebih sering berbeda daripada yang diduga siapa pun.

Temukan identitas terakhir yang dapat ditegakkan

Mulai dari titik penegakan dan berjalan mundur sampai prefiks asli muncul. Dua perintah biasanya menemukan batasnya.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Tabel NAT menunjukkan lalu lintas mana yang diterjemahkan dan oleh aturan mana, sedangkan daftar conntrack menunjukkan pasangan asli dan terjemahan untuk aliran aktif. Di tempat firewall hulu hanya melihat alamat terjemahan, aturan sumber per grup tidak dapat bekerja, tidak peduli bagaimana ditulis. Berjalan maju atau mundur di sepanjang jalur sampai Anda mencapai perangkat yang membuat kedua prefiks klien tetap berbeda. Catat sumber di setiap lompatan alih-alih memercayai label dalam atau luar.

Tiga penempatan dan biaya masing-masing

Kebijakan dapat berada di gateway yang menerjemahkan, tempat sumber asli masih terlihat. Kebijakan dapat berada di firewall hulu jika transit menjadi dirutekan alih-alih diterjemahkan, yang berarti menambahkan rute balik dan menghapus penulisan ulang sumber. Atau kebijakan dapat ditegakkan pada identitas alih-alih alamat, melalui kendali terautentikasi yang mengenal pengguna atau perangkat. Setiap pilihan punya pemilik dan mode kegagalan, dan hanya dua yang pertama menjaga aturan murni tentang alamat sumber.

Apa pun yang Anda pilih, dokumentasikan aturan bersama alamat yang dicocokinya. Aturan yang asumsi alamatnya berubah diam-diam lebih buruk daripada tidak ada aturan, karena aturan itu terus mencocoki lalu lintas sambil melindungi sesuatu yang sama sekali lain.

Penerimaan: satu klien diizinkan dan satu ditolak

Uji dengan sepasang klien, satu dari setiap grup, dan tangkap bagaimana masing-masing tiba di titik penegakan. Simpan kedua pasangan di samping hasil aturan, agar bukti menunjukkan perbedaan bertahan, bukan bahwa ada firewall lain. Ulangi uji setelah perubahan NAT atau perutean, karena alamat yang disajikan adalah bagian yang rusak diam-diam. Pertahankan autentikasi di tempat orang harus dibedakan, karena alamat sumber adalah masukan kebijakan, bukan bukti identitas.

Tulis titik penegakan, sumber yang diamati, dan aturan ke dalam tiket. Jika tidak, insinyur berikutnya menambahkan firewall kedua dan aturan yang sama.