Quell-NAT verstoppt Clientadressen virun enger spéider Firewall

Eng Regel, déi fir Personal- a Laborcliente geschriwwe gouf, kënnt op déi nei Randfirewall, an si passt stëll op alles oder op näischt. D'Ursaach läit uewendriwwer: en Gateway huet d'Client-Adressen schonn ëmgeschriwwen, dofir gesäit d'Regel eng Transitadress amplaz vun zwou Gruppen. En Apparat dobäizemaachen stellt d'Informatioun net erëm hier, déi de Wee ewechgeholl huet. Fannt déi lescht Plaz, wou den Ënnerscheed nach existéiert, ier Dir d'Politik schreift.

Firwat d'Randregel eng eenzeg Adress gesäit

Vill-zu-eng-Übersetzung mappt all intern Adress- a Portpaar op eng gedeelte extern Adress mat enger zougewisener Port. Konversatioune bleiwen fir den Iwwersetzer duerch déi Portbindungen ënnerscheedbar, awer en Apparat ënnen, deen eng einfach Quellprefix-Matchung mécht, gesäit nëmmen déi gedeelt Adress. Dat duerft, fir zwou Gruppen op der Regel identesch ze maachen. D'Paketen kommen nach ëmmer un; d'Gruppéierung net.

Kuckt, wat d'Interface vun der Firewall tatsächlech observéiert, an net wat den Diagramm versprécht. Déi zwee ënnerscheede sech méi dacks, wéi een erwaart.

Fannt déi lescht duerchsetzbar Identitéit

Fänkt um Duerchsetzungspunkt un a gitt zréck, bis den originelle Prefix erschéngt. Zwee Kommandoen fannen normalerweis d'Grenz.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

D'NAT-Tabell weist, wéi ee Verkéier a mat wéi enger Regel iwwersat gëtt, während d'conntrack-Lëscht originell an iwwersat Tupelen fir aktiv Flëss weist. Wou d'Firewall uewendriwwer ëmmer nëmmen déi iwwersat Adress gesäit, kënne Quellregelen pro Grupp do net funktionéieren, egal wéi si geschriwwe sinn. Gitt de Wee virun oder zréck, bis Dir en Apparat erreecht, op deem déi zwou Clientprefixen ënnerscheedbar bleiwen. Notéiert d'Quell op all Hop amplaz engem Innen- oder Aussenlabel ze vertrauen.

Dräi Placeringen a wat jiddweree kascht

D'Politik kann um iwwersetzende Gateway liewen, wou d'originell Quelle nach visibel sinn. Si kann op der Firewall uewendriwwer liewen, wann den Transit geroutet amplaz iwwersat gëtt, wat bedeit, Retourrouten dobäizesetzen an d'Quellëmschreiwung ewechzehuelen. Oder si kann op Identitéit amplaz op Adressen duerchgesat ginn, iwwer eng authentifizéiert Kontroll, déi de Benotzer oder den Apparat kennt. All Wiel huet en Eegentümer an e Fehlermodus, a just déi éischt zwee halen d'Regel renn iwwer Quelladressen.

Wat Dir och wielt, dokumentéiert d'Regel zesumme mat der Adress, op déi se passt. Eng Regel, där hir Adressannahm sech stëll geännert huet, ass schléchter wéi keng Regel, well se weider op Verkéier passt, während se eppes ganz anescht schützt.

Accept: ee erlaabten an ee refuséierte Client

Testt mat engem Clientpuer, ee vun all Grupp, a halt fest, wéi jiddwereen um Duerchsetzungspunkt ukommt. Halt béid Tupelen nieft dem Regelresultat, sou datt d'Beweis weist, datt den Ënnerscheed iwwerlieft huet, an net datt eng aner Firewall existéiert. Widderhëlt den Test no enger NAT- oder Routingännerung, well déi presentéiert Adress deen Deel ass, deen stëll briechen. Halt Authentifikatioun iwwerall, wou Leit mussen ënnerscheet ginn, well eng Quelladress ass en Politikinput, keen Identitéitsbeweis.

Schreift den Duerchsetzungspunkt, déi observéiert Quell an d'Regel an den Ticket. Soss setzt den nächsten Ingenieur eng zweet Firewall an déiselwecht Regel derbäi.