Изворниот NAT ги крие адресите на клиентите од подоцнежниот огнен ѕид

Правило напишано за вработени и лабораториски клиенти се поставува на новиот рабен огнен ѕид и тивко се совпаѓа со сите или со ништо. Причината е погоре: порта веќе ги препишала адресите на клиентите, па правилото гледа една транзитна адреса наместо две групи. Додавањето уред не ја враќа информацијата што ја отстрани патеката. Најдете ја последната точка каде разликата уште постои пред да ја напишете политиката.

Зошто рабното правило гледа една адреса

Преводот многу-во-едно ја поврзува секоја внатрешна двојка адреса и порта со заедничка надворешна адреса со доделена порта. Разговорите остануваат разливливи за преведувачот преку тие портни врски, но уредот подолу што прави едноставно совпаѓање на изворниот префикс ја гледа само заедничката адреса. Тоа е доволно две групи да бидат идентични кај правилото. Пакетите уште пристигнуваат; групирањето не.

Проверете што интерфејсот на огнениот ѕид навистина набљудува, а не што ветува шемата. Двете се разликуваат почесто отколку што некој очекува.

Најдете го последниот применлив идентитет

Започнете од точката на примена и одете наназад додека не се појави оригиналниот префикс. Границата обично ја наоѓаат две команди.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT табелата покажува кој сообраќај и со кое правило се преведува, додека conntrack списокот ги покажува оригиналните и преведените двојки за активни текови. Онаму каде горниот огнен ѕид гледа само преведената адреса, изворните правила по група не можат да работат, како и да се напишани. Одете напред или назад по патеката додека не стигнете до уред на кој двата клиентски префикси остануваат различни. Запишете го изворот на секој чекор наместо да се потпирате на внатрешна или надворешна ознака.

Три места и што чини секое

Политиката може да живее на портата што преведува, каде оригиналните извори уште се видливи. Може да живее на горниот огнен ѕид ако транзитот стане насочен наместо преведен, што значи додавање повратни рути и отстранување на препишувањето на изворот. Или може да се применува врз идентитет наместо врз адреси, преку автентифицирана контрола што го знае корисникот или уредот. Секој избор има сопственик и начин на откажување, и само првите два го држат правилото чисто за изворни адреси.

Што и да изберете, документирајте го правилото заедно со адресата со која се совпаѓа. Правило чија претпоставка за адресата тивко се променила е полошо од никакво правило, затоа што продолжува да се совпаѓа со сообраќај додека штити нешто сосема друго.

Прифаќање: еден дозволен и еден одбиен клиент

Тестирајте со двојка клиенти, по еден од секоја група, и забележете како секој пристигнува до точката на примена. Зачувајте ги двете двојки до резултатот од правилото, за доказот да покаже дека разликата опстоила, а не дека постои друг огнен ѕид. Повторете го тестот по промена на NAT или насочување, затоа што претставената адреса е делот што тивко се расипува. Задржете автентикација каде што луѓето мора да се разликуваат, бидејќи изворната адреса е влез за политиката, а не доказ за идентитет.

Запишете ја точката на примена, набљудуваниот извор и правилото во тикетот. Инаку следниот инженер додава втор огнен ѕид и истото правило.