Баштапкы NAT клиент даректерин кийинки брандмауэрден жашырат

Кызматкерлер жана лаборатория клиенттери үчүн жазылган эреже жаңы чек ара брандмауэрине коюлат, бирок ал үнсүз түрдө баарына же эч нерсеге дал келбейт. Себеби жогоруда: шлюз клиент даректерин мурун эле кайра жазган, ошондуктан эреже эки топтун ордуна бир транзиттик даректи көрөт. Түзмөк кошуу жол жок кылган маалыматты калыбына келтирбейт. Саясатты жазганга чейин айырмачылык дагы бар акыркы чекитти табыңыз.

Эмне үчүн чек ара эрежеси бир даректи көрөт

Көптөн-бирге которуу ар бир ички дарек жана порт жупун дайындалган порту бар жалпы сырткы дарекке далдаштырат. Сүйлөшүүлөр которуучу үчүн ошол порт байланыштары аркылуу айырмаланат, бирок төмөндөгү жөнөкөй баштапкы префиксти далдаштырган түзмөк жалпы даректи гана көрөт. Бул эрежеде эки топту бирдей кылууга жетишет. Пакеттер дагы келет; топтоштуруу келбейт.

Диаграмма убада кылганды эмес, брандмауэрдин интерфейси чындап эмнени байкаарын текшериңиз. Экөө көбүнчө күтүлгөндөн көп айырмаланат.

Акыркы колдонула турган идентификатты табыңыз

Колдонуу чекитинен баштап, баштапкы префикс пайда болгонго чейин артка жүрүңүз. Чекти адатта эки буйрук табат.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT таблицасы кайсы трафик жана кайсы эреже менен которулаарын көрсөтөт, ал эми conntrack тизмеси активдүү агымдардын баштапкы жана которулган жуптарын көрсөтөт. Жогорку брандмауэр которулган даректи гана көргөн жерде топ боюнча баштапкы эрежелер кантип жазылбасын иштей албайт. Жол бою алдыга же артка жүрүп, эки клиент префикси айырмаланган түзмөккө жетиңиз. Ички же сырткы белгиге ишенүүнүн ордуна ар бир кадамда баштапкы булакты жазып отуруңуз.

Үч жайгаштыруу жана ар биринин баасы

Саясат которуучу шлюзде жашай алат, анда баштапкы булактар дагы көрүнөт. Эгер транзит которуунун ордуна маршрутташтырылса, ал жогорку брандмауэрде жашай алат, бул кайтаруу маршруттарын кошууну жана баштапкы булакты кайра жазууну алып салууну билдирет. Же аны даректердин ордуна идентификатка колдонсо болот, колдонуучуну же түзмөктү билген аутентификацияланган көзөмөл аркылуу. Ар бир тандоонун ээси жана ката режими бар, ал эми алгачкы экөө гана эрежени таза баштапкы даректер тууралуу кармайт.

Кайсынысын тандасаңыз да, эрежени ал дал келген дарек менен бирге документтештириңиз. Дарек боюнча божомолу үнсүз өзгөргөн эреже такыр эреже жоктон жаман, анткени ал трафикке дал келе берет, ал эми таптакыр башка нерсени коргойт.

Кабыл алуу: бир уруксат берилген жана бир баш тартылган клиент

Ар бир топтон бирден эки клиент менен сынап, ар биринин колдонуу чекитине кантип жеткенин жазып алыңыз. Эки жупту тең эреженин жыйынтыгынын жанында кармаңыз, далил айырмачылыктын сакталганын көрсөтсүн, башка брандмауэрдин бар экенин эмес. NAT же маршруттоо өзгөргөндөн кийин сыноону кайталаңыз, анткени сунушталган дарек — үнсүз бузулуучу бөлүк. Адамдарды айырмалоо керек болгон жерде аутентификацияны кармап туруңуз, анткени баштапкы дарек — саясаттын киргизүүсү, идентификаттын далили эмес.

Колдонуу чекитин, байкалган булакты жана эрежени тикетке жазыңыз. Болбосо кийинки инженер экинчи брандмауэрди жана ошол эле эрежени кошот.