Avota NAT slēpj klientu adreses no vēlāka ugunsmūra

Noteikums, kas rakstīts darbinieku un laboratorijas klientiem, nonāk jaunajā malas ugunsmūrī, un tas klusām atbilst visam vai nekam. Iemesls ir augstāk: vārteja jau ir pārrakstījusi klientu adreses, tāpēc noteikums redz vienu tranzīta adresi divu grupu vietā. Ierīces pievienošana neatjauno informāciju, ko ceļš noņēma. Atrodiet pēdējo punktu, kur atšķirība vēl pastāv, pirms rakstāt politiku.

Kāpēc malas noteikums redz vienu adresi

Daudzu-uz-vienu tulkošana kartē katru iekšējo adreses un porta pāri uz kopīgu ārējo adresi ar piešķirtu portu. Sarunas tulkotājam paliek atšķiramas, pateicoties šiem portu sasaistēm, bet zemāk esoša ierīce, kas veic vienkāršu avota prefiksa atbilstību, redz tikai kopīgo adresi. Ar to pietiek, lai divas grupas pie noteikuma kļūtu identiskas. Paketes joprojām ierodas; grupēšana ne.

Pārbaudiet, ko ugunsmūra saskarne patiešām novēro, nevis ko sola shēma. Abi biežāk atšķiras, nekā kāds sagaida.

Atrodiet pēdējo izpildāmo identitāti

Sāciet izpildes punktā un ejiet atpakaļ, līdz parādās sākotnējais prefikss. Robežu parasti atrod divas komandas.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT tabula parāda, kura plūsma un ar kādu noteikumu tiek tulkota, bet conntrack saraksts parāda sākotnējos un tulkotos pārus aktīvām plūsmām. Tur, kur augstākais ugunsmūris vienmēr redz tikai tulkoto adresi, avota noteikumi pa grupām nevar darboties, lai kā tie būtu rakstīti. Ejiet pa ceļu uz priekšu vai atpakaļ, līdz nonākat ierīcē, kurā divi klientu prefiksi paliek atšķirīgi. Pierakstiet avotu katrā lēcienā, nevis paļaujieties uz iekšējas vai ārējas etiķetes apzīmējumu.

Trīs izvietojumi un katra izmaksas

Politika var dzīvot tulkojošajā vārtejā, kur sākotnējie avoti vēl ir redzami. Tā var dzīvot augstākajā ugunsmūrī, ja tranzīts kļūst maršrutēts, nevis tulkots, kas nozīmē atgriešanās maršrutu pievienošanu un avota pārrakstīšanas noņemšanu. Vai arī to var izpildīt pēc identitātes, nevis adresēm, izmantojot autentificētu kontroli, kas pazīst lietotāju vai ierīci. Katrai izvēlei ir īpašnieks un atteices režīms, un tikai pirmās divas saglabā noteikumu tīri par avota adresēm.

Ko vien izvēlētos, dokumentējiet noteikumu kopā ar adresi, kurai tas atbilst. Noteikums, kura pieņēmums par adresi klusām mainījies, ir sliktāks par noteikuma neesamību, jo tas turpina atbilst trafikam, vienlaikus aizsargājot kaut ko pilnīgi citu.

Pieņemšana: viens atļauts un viens noraidīts klients

Pārbaudiet ar klientu pāri, pa vienam no katras grupas, un fiksējiet, kā katrs nonāk izpildes punktā. Saglabājiet abus pārus blakus noteikuma rezultātam, lai pierādījumi rādītu, ka atšķirība saglabājās, nevis ka pastāv cits ugunsmūris. Atkārtojiet testu pēc NAT vai maršrutēšanas izmaiņām, jo uzrādītā adrese ir tā daļa, kas klusām salūzt. Saglabājiet autentifikāciju visur, kur cilvēki ir jānošķir, jo avota adrese ir politikas ievade, nevis identitātes pierādījums.

Ierakstiet izpildes punktu, novēroto avotu un noteikumu biļetē. Citādi nākamais inženieris pievienos otru ugunsmūri un to pašu noteikumu.