წყაროს NAT მალავს კლიენტების მისამართებს შემდგომი ფაირვოლისგან

თანამშრომლებისა და ლაბორატორიის კლიენტებისთვის დაწერილი წესი ახალ კიდურ ფაირვოლზე ჯდება და ჩუმად ემთხვევა ყველაფერს ან არაფერს. მიზეზი ზემოთაა: კარიბჭემ უკვე გადაწერა კლიენტების მისამართები, ამიტომ წესი ხედავს ერთ გავლის მისამართს ორი ჯგუფის ნაცვლად. მოწყობილობის დამატება არ აბრუნებს იმ ინფორმაციას, რომელიც გზამ მოხსნა. იპოვეთ ბოლო წერტილი, სადაც განსხვავება ჯერ კიდევ არსებობს, სანამ პოლიტიკას დაწერთ.

რატომ ხედავს კიდური წესი ერთ მისამართს

მრავალიდან-ერთზე თარგმნა ყოველ შიდა მისამართისა და პორტის წყვილს აკავშირებს საერთო გარე მისამართთან მინიჭებული პორტით. საუბრები მთარგმნელისთვის გასარჩევი რჩება ამ პორტის კავშირებით, თუმცა ქვემოთ მდგომი მოწყობილობა, რომელიც მარტივ წყაროს პრეფიქსის შედარებას აკეთებს, მხოლოდ საერთო მისამართს ხედავს. ეს საკმარისია, რომ წესთან ორი ჯგუფი იდენტური გახდეს. პაკეტები მაინც მოდის; დაჯგუფება არა.

შეამოწმეთ, რას აკვირდება ფაირვოლის ინტერფეისი სინამდვილეში და არა რას გვპირდება სქემა. ეს ორი უფრო ხშირად განსხვავდება, ვიდრე ვინმე მოელის.

იპოვეთ ბოლო გამოყენებადი იდენტობა

დაიწყეთ გამოყენების წერტილიდან და იარეთ უკან, სანამ საწყისი პრეფიქსი გამოჩნდება. საზღვარს ჩვეულებრივ ორი ბრძანება პოულობს.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT-ის ცხრილი გვიჩვენებს, რომელი ტრაფიკი და რომელი წესით ითარგმნება, ხოლო conntrack-ის სია აქტიური ნაკადების საწყის და თარგმნილ წყვილებს გვიჩვენებს. სადაც ზემოთა ფაირვოლი მხოლოდ თარგმნილ მისამართს ხედავს, ჯგუფების მიხედვით წყაროს წესები იქ ვერ იმუშავებს, როგორც არ უნდა დაიწეროს. იარეთ წინ ან უკან გზის გასწვრივ, სანამ მიაღწევთ მოწყობილობას, რომელზეც კლიენტის ორი პრეფიქსი განსხვავებული რჩება. ჩაწერეთ წყარო ყოველ ნაბიჯზე, ნაცვლად შიდა ან გარე იარლიყის ნდობისა.

სამი განლაგება და რა ღირს თითოეული

პოლიტიკა შეიძლება იცხოვროს მთარგმნელ კარიბჭეზე, სადაც საწყისი წყაროები ჯერ კიდევ ჩანს. ის შეიძლება იცხოვროს ზემოთა ფაირვოლზე, თუ გავლა თარგმნის ნაცვლად მარშრუტიზაციას დაექვემდებარება, რაც ნიშნავს დაბრუნების მარშრუტების დამატებას და წყაროს გადაწერის მოცილებას. ან შეიძლება გავრცელდეს იდენტობაზე და არა მისამართებზე, ავთენტიფიცირებული კონტროლის მეშვეობით, რომელიც იცნობს მომხმარებელს ან მოწყობილობას. თითოეულ არჩევანს ჰყავს მფლობელი და წარუმატებლობის რეჟიმი და მხოლოდ პირველი ორი ინარჩუნებს წესს წმინდად წყაროს მისამართებზე.

რომელი არჩიოთ, წესი დაარეგისტრირეთ იმ მისამართთან ერთად, რომელსაც ის ემთხვევა. წესი, რომლის მისამართის ვარაუდი ჩუმად შეიცვალა, უარესია, ვიდრე წესის არარსებობა, რადგან ის კვლავ ემთხვევა ტრაფიკს და სრულიად სხვა რამეს იცავს.

მიღება: ერთი ნებადართული და ერთი უარყოფილი კლიენტი

სცადეთ კლიენტების წყვილით, თითო თითოეული ჯგუფიდან, და დააფიქსირეთ, როგორ აღწევს თითოეული გამოყენების წერტილს. შეინახეთ ორივე წყვილი წესის შედეგის გვერდით, რათა მტკიცებულებამ აჩვენოს, რომ განსხვავება გადარჩა და არა ის, რომ სხვა ფაირვოლი არსებობს. გაიმეორეთ ტესტი NAT-ის ან მარშრუტიზაციის ცვლილების შემდეგ, რადგან წარმოდგენილი მისამართი არის ის ნაწილი, რომელიც ჩუმად ფუჭდება. შეინარჩუნეთ ავთენტიფიკაცია ყველგან, სადაც ხალხი უნდა გაიმიჯნოს, რადგან წყაროს მისამართი პოლიტიკის შეტანაა და არა იდენტობის მტკიცებულება.

დაწერეთ გამოყენების წერტილი, დაკვირვებული წყარო და წესი ბილეთში. წინააღმდეგ შემთხვევაში შემდეგი ინჟინერი დაამატებს მეორე ფაირვოლს და იმავე წესს.