Бастапқы NAT клиент мекенжайларын кейінгі брандмауэрден жасырады

Қызметкерлер мен зертхана клиенттеріне арнап жазылған ереже жаңа шекаралық брандмауэрге орналастырылады, бірақ ол үнсіз бүкіл трафикке де, ештеңеге де сәйкес келмейді. Себебі жоғарыда: шлюз клиент мекенжайларын әлдеқашан қайта жазған, сондықтан ереже екі топтың орнына бір транзиттік мекенжайды көреді. Құрылғы қосу жол жойған ақпаратты қалпына келтірмейді. Саясатты жазбас бұрын айырмашылық әлі бар соңғы нүктені табыңыз.

Неге шекаралық ереже бір мекенжайды көреді

Көптен-бірге аудару әр ішкі мекенжай мен порт жұбын тағайындалған порты бар ортақ сыртқы мекенжайға сәйкестендіреді. Әңгімелер аудармашы үшін осы порт байланыстары арқылы ажыратылады, бірақ төмендегі қарапайым бастапқы префиксін сәйкестендіретін құрылғы тек ортақ мекенжайды көреді. Бұл ережеде екі топты бірдей етуге жетеді. Пакеттер әлі де келеді; топтастыру келмейді.

Диаграмма уәде еткенді емес, брандмауэр интерфейсі шынымен нені бақылайтынын тексеріңіз. Екеуі кез келгеннің күткенінен жиі ерекшеленеді.

Соңғы қолданылатын сәйкестікті табыңыз

Қолдану нүктесінен бастап, бастапқы префикс пайда болғанша артқа жүріңіз. Шекараны әдетте екі пәрмен табады.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT кестесі қай трафиктің қай ережемен аударылатынын көрсетеді, ал conntrack тізімі белсенді ағындардың бастапқы және аударылған жұптарын көрсетеді. Жоғарыдағы брандмауэр тек аударылған мекенжайды көретін жерде топ бойынша бастапқы ережелер қалай жазылса да жұмыс істей алмайды. Жол бойымен алға немесе артқа жүріп, екі клиент префиксі ажыратылатын құрылғыға жетіңіз. Ішкі немесе сыртқы белгіге сенудің орнына әр қадамда бастапқы көзді жазып отырыңыз.

Үш орналасу және әрқайсысының құны

Саясат аударатын шлюзде тұра алады, онда бастапқы көздер әлі көрінеді. Егер транзит аударылудың орнына маршрутталатын болса, ол жоғарыдағы брандмауэрде тұра алады, бұл қайтару маршруттарын қосуды және бастапқы көзді қайта жазуды алып тастауды білдіреді. Немесе оны мекенжайлардың орнына сәйкестікке қолдануға болады, пайдаланушыны немесе құрылғыны білетін аутентификацияланған бақылау арқылы. Әр таңдаудың иесі және ақау режимі бар, тек алғашқы екеуі ережені тек бастапқы мекенжайлар туралы ғана ұстайды.

Қайсысын таңдасаңыз да, ережені ол сәйкес келетін мекенжаймен бірге құжаттаңыз. Мекенжай туралы болжамы үнсіз өзгерген ереже мүлде ереже болмағаннан да нашар, өйткені ол трафикке сәйкес келе береді, ал мүлде басқа нәрсені қорғайды.

Қабылдау: бір рұқсат етілген және бір қабылданбаған клиент

Әр топтан бір-бірден екі клиентпен сынап, әрқайсысының қолдану нүктесіне қалай жететінін жазып алыңыз. Екі жұпты да ереже нәтижесінің қасында ұстаңыз, дәлел айырмашылықтың сақталғанын көрсетсін, басқа брандмауэрдің бар екенін емес. NAT немесе маршруттау өзгергеннен кейін сынақты қайталаңыз, өйткені ұсынылған мекенжай — үнсіз бұзылатын бөлік. Адамдарды ажырату қажет жерлерде аутентификацияны ұстап тұрыңыз, өйткені бастапқы мекенжай — саясаттың кірісі, сәйкестіктің дәлелі емес.

Қолдану нүктесін, байқалған бастапқы көзді және ережені тикетке жазыңыз. Әйтпесе келесі инженер екінші брандмауэр мен сол ережені қосады.