Šaltinio NAT paslepia klientų adresus nuo vėlesnės užkardos

Taisyklė, parašyta darbuotojų ir laboratorijos klientams, patenka į naują krašto užkardą, ir ji tyliai atitinka viską arba nieko. Priežastis yra aukščiau: tarpinė jau perrašė klientų adresus, todėl taisyklė mato vieną tranzito adresą vietoj dviejų grupių. Įrenginio pridėjimas neatkuria informacijos, kurią pašalino kelias. Raskite paskutinį tašką, kuriame skirtumas dar egzistuoja, prieš rašydami politiką.

Kodėl krašto taisyklė mato vieną adresą

Daugelio-į-vieną vertimas kiekvieną vidinę adreso ir prievado porą susieja su bendru išoriniu adresu, turinčiu priskirtą prievadą. Pokalbiai vertėjui išlieka atskiriami dėl tų prievadų susiejimų, tačiau žemiau esantis įrenginys, atliekantis paprastą šaltinio prefikso atitikimą, mato tik bendrą adresą. To pakanka, kad dvi grupės taisyklėje būtų identiškos. Paketai vis dar ateina; grupavimas ne.

Patikrinkite, ką užkardos sąsaja iš tikrųjų stebi, o ne ką žada schema. Abu dažniau skiriasi, nei kas nors tikisi.

Raskite paskutinę vykdytiną tapatybę

Pradėkite nuo vykdymo taško ir eikite atgal, kol pasirodys pradinis prefiksas. Ribą paprastai randa dvi komandos.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT lentelė rodo, kuris srautas ir kokia taisykle verčiamas, o conntrack sąrašas rodo pradines ir išverstas poras aktyviems srautams. Ten, kur aukštesnė užkarda visada mato tik išverstą adresą, šaltinio taisyklės pagal grupes negali veikti, kad ir kaip jos būtų parašytos. Eikite keliu pirmyn arba atgal, kol pasieksite įrenginį, kuriame du klientų prefiksai išlieka skirtingi. Užrašykite šaltinį kiekviename šuolyje, o ne pasikliaukite vidinės ar išorinės etiketės žyme.

Trys vietos ir kiek kiekviena kainuoja

Politika gali gyventi verčiančioje tarpinėje, kur pradiniai šaltiniai dar matomi. Ji gali gyventi aukštesnėje užkardoje, jei tranzitas tampa maršrutizuotas, o ne verčiamas, o tai reiškia grįžimo maršrutų pridėjimą ir šaltinio perrašymo pašalinimą. Arba ji gali būti vykdoma pagal tapatybę, o ne adresus, per autentifikuotą valdymą, kuris žino vartotoją ar įrenginį. Kiekvienas pasirinkimas turi savininką ir gedimo režimą, ir tik pirmieji du palieka taisyklę vien apie šaltinio adresus.

Kad ir ką pasirinktumėte, dokumentuokite taisyklę kartu su adresu, kurį ji atitinka. Taisyklė, kurios prielaida apie adresą tyliai pasikeitė, yra blogesnė už jokios taisyklės, nes ji toliau atitinka srautą, o saugo visiškai ką kita.

Priėmimas: vienas leistas ir vienas atmestas klientas

Išbandykite su dviejų klientų pora, po vieną iš kiekvienos grupės, ir užfiksuokite, kaip kiekvienas atvyksta į vykdymo tašką. Laikykite abi poras prie taisyklės rezultato, kad įrodymai parodytų, jog skirtumas išliko, o ne kad egzistuoja kita užkarda. Pakartokite bandymą po NAT ar maršrutizavimo pakeitimo, nes pateiktas adresas yra ta dalis, kuri tyliai sugenda. Išlaikykite autentifikaciją ten, kur žmones reikia atskirti, nes šaltinio adresas yra politikos įvestis, o ne tapatybės įrodymas.

Įrašykite vykdymo tašką, stebėtą šaltinį ir taisyklę į bilietą. Priešingu atveju kitas inžinierius pridės antrą užkardą ir tą pačią taisyklę.