സ്രോതസ്സ് NAT ക്ലയന്റ് വിലാസങ്ങൾ പിന്നീടുള്ള ഫയർവാളിൽ നിന്ന് മറയ്ക്കുന്നു

സ്റ്റാഫ്, ലാബ് ക്ലയന്റുകൾക്കായി എഴുതിയ ഒരു നിയമം പുതിയ എഡ്ജ് ഫയർവാളിൽ വയ്ക്കുന്നു, അത് നിശബ്ദമായി എല്ലാത്തിനോടും അല്ലെങ്കിൽ ഒന്നിനോടും പൊരുത്തപ്പെടുന്നില്ല. കാരണം മുകളിലാണ്: ഒരു ഗേറ്റ്വേ ഇതിനകം ക്ലയന്റ് വിലാസങ്ങൾ വീണ്ടും എഴുതിയിട്ടുണ്ട്, അതിനാൽ നിയമം രണ്ട് ഗ്രൂപ്പുകൾക്ക് പകരം ഒരു ട്രാൻസിറ്റ് വിലാസം മാത്രം കാണുന്നു. ഒരു ഉപകരണം ചേർക്കുന്നത് പാത നീക്കം ചെയ്ത വിവരം തിരികെ കൊണ്ടുവരില്ല. നയം എഴുതുന്നതിന് മുമ്പ് വ്യത്യാസം ഇനിയും നിലനിൽക്കുന്ന അവസാന പോയിന്റ് കണ്ടെത്തുക.

എഡ്ജ് നിയമം ഒരു വിലാസം മാത്രം കാണുന്നത് എന്തുകൊണ്ട്

പലതിൽ നിന്ന് ഒന്നിലേക്കുള്ള വിവർത്തനം ഓരോ ആന്തരിക വിലാസ-പോർട്ട് ജോടിയെയും നിർദ്ദിഷ്ട പോർട്ടുള്ള പങ്കിട്ട ബാഹ്യ വിലാസത്തിലേക്ക് മാപ്പ് ചെയ്യുന്നു. ആ പോർട്ട് ബന്ധനങ്ങളിലൂടെ സംഭാഷണങ്ങൾ വിവർത്തകന് വേർതിരിച്ചറിയാം, പക്ഷേ ലളിതമായ സ്രോതസ്സ്-പ്രിഫിക്സ് പൊരുത്തം നടത്തുന്ന താഴത്തെ ഉപകരണം പങ്കിട്ട വിലാസം മാത്രം കാണുന്നു. നിയമത്തിൽ രണ്ട് ഗ്രൂപ്പുകളെ ഒരുപോലെയാക്കാൻ അത് മതി. പാക്കറ്റുകൾ ഇപ്പോഴും എത്തുന്നു; ഗ്രൂപ്പിംഗ് എത്തുന്നില്ല.

ഡയഗ്രം വാഗ്ദാനം ചെയ്യുന്നതല്ല, ഫയർവാളിന്റെ ഇന്റർഫേസ് യഥാർത്ഥത്തിൽ എന്താണ് നിരീക്ഷിക്കുന്നതെന്ന് പരിശോധിക്കുക. രണ്ടും ആരും പ്രതീക്ഷിക്കുന്നതിലും കൂടുതൽ തവണ വ്യത്യാസപ്പെടുന്നു.

അവസാനം നടപ്പാക്കാവുന്ന ഐഡന്റിറ്റി കണ്ടെത്തുക

പ്രയോഗ പോയിന്റിൽ നിന്ന് ആരംഭിച്ച് യഥാർത്ഥ പ്രിഫിക്സ് പ്രത്യക്ഷപ്പെടുന്നതുവരെ പിന്നോട്ട് നടക്കുക. സാധാരണയായി രണ്ട് കമാൻഡുകൾ അതിർത്തി കണ്ടെത്തുന്നു.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT പട്ടിക ഏത് ട്രാഫിക്കും ഏത് നിയമപ്രകാരവും വിവർത്തനം ചെയ്യുന്നു എന്ന് കാണിക്കുന്നു, അതേസമയം conntrack പട്ടിക സജീവ ഫ്ലോകളുടെ യഥാർത്ഥ, വിവർത്തനം ചെയ്ത ജോടികൾ കാണിക്കുന്നു. മുകളിലെ ഫയർവാൾ വിവർത്തനം ചെയ്ത വിലാസം മാത്രം കാണുന്നിടത്ത്, ഗ്രൂപ്പ് അനുസരിച്ചുള്ള സ്രോതസ്സ് നിയമങ്ങൾ എങ്ങനെ എഴുതിയാലും പ്രവർത്തിക്കാനാവില്ല. രണ്ട് ക്ലയന്റ് പ്രിഫിക്സുകളും വേർതിരിഞ്ഞ് നിൽക്കുന്ന ഉപകരണത്തിൽ എത്തുന്നതുവരെ പാതയിലൂടെ മുന്നോട്ടോ പിന്നോട്ടോ നടക്കുക. അകത്തെയോ പുറത്തെയോ ലേബൽ വിശ്വസിക്കുന്നതിനുപകരം ഓരോ ചുവടിലും സ്രോതസ്സ് രേഖപ്പെടുത്തുക.

മൂന്ന് സ്ഥാനങ്ങളും ഓരോന്നിന്റെയും വിലയും

നയം വിവർത്തനം ചെയ്യുന്ന ഗേറ്റ്വേയിൽ നിലനിൽക്കാം, അവിടെ യഥാർത്ഥ സ്രോതസ്സുകൾ ഇപ്പോഴും കാണാം. ട്രാൻസിറ്റ് വിവർത്തനത്തിന് പകരം റൂട്ട് ചെയ്യപ്പെട്ടാൽ അത് മുകളിലെ ഫയർവാളിലും നിലനിൽക്കാം, അതായത് മടങ്ങിവരുന്ന റൂട്ടുകൾ ചേർക്കുകയും സ്രോതസ്സ് പുനരെഴുത്ത് നീക്കുകയും ചെയ്യുക. അല്ലെങ്കിൽ വിലാസങ്ങൾക്ക് പകരം ഐഡന്റിറ്റിയിൽ നടപ്പാക്കാം, ഉപയോക്താവിനെയോ ഉപകരണത്തെയോ അറിയുന്ന പ്രാമാണീകരിച്ച നിയന്ത്രണത്തിലൂടെ. ഓരോ തിരഞ്ഞെടുപ്പിനും ഉടമയും പരാജയ മാതൃകയും ഉണ്ട്, ആദ്യ രണ്ടെണ്ണം മാത്രമാണ് നിയമത്തെ സ്രോതസ്സ് വിലാസങ്ങളിൽ മാത്രമായി നിർത്തുന്നത്.

ഏത് തിരഞ്ഞെടുത്താലും, നിയമം അത് പൊരുത്തപ്പെടുന്ന വിലാസത്തോടൊപ്പം രേഖപ്പെടുത്തുക. വിലാസ സങ്കൽപ്പം നിശബ്ദമായി മാറിയ നിയമം നിയമമില്ലാത്തതിനെക്കാൾ മോശമാണ്, കാരണം അത് ട്രാഫിക്കുമായി പൊരുത്തപ്പെട്ടുകൊണ്ടേയിരിക്കെ തികച്ചും വേറെ എന്തോ സംരക്ഷിക്കുന്നു.

സ്വീകാര്യത: അനുവദിച്ച ഒരു ക്ലയന്റും നിരസിച്ച ഒരു ക്ലയന്റും

ഓരോ ഗ്രൂപ്പിൽ നിന്നും ഒന്നുവീതം രണ്ട് ക്ലയന്റുകളുമായി പരിശോധിച്ച്, ഓരോരുത്തരും പ്രയോഗ പോയിന്റിൽ എത്തുന്നതെങ്ങനെയെന്ന് പകർത്തുക. രണ്ട് ജോടികളും നിയമഫലത്തിന് അടുത്തായി സൂക്ഷിക്കുക, തെളിവ് വ്യത്യാസം നിലനിന്നു എന്ന് കാണിക്കട്ടെ, മറ്റൊരു ഫയർവാൾ ഉണ്ടെന്നല്ല. NAT അല്ലെങ്കിൽ റൂട്ടിംഗ് മാറ്റത്തിന് ശേഷം പരിശോധന ആവർത്തിക്കുക, കാരണം അവതരിപ്പിക്കുന്ന വിലാസമാണ് നിശബ്ദമായി തകരുന്ന ഭാഗം. ആളുകളെ വേർതിരിക്കേണ്ടിടത്ത് പ്രാമാണീകരണം നിലനിർത്തുക, കാരണം സ്രോതസ്സ് വിലാസം നയത്തിന്റെ ഇൻപുട്ടാണ്, ഐഡന്റിറ്റിയുടെ തെളിവല്ല.

പ്രയോഗ പോയിന്റ്, നിരീക്ഷിച്ച സ്രോതസ്സ്, നിയമം എന്നിവ ടിക്കറ്റിൽ എഴുതുക. അല്ലെങ്കിൽ അടുത്ത എൻജിനീയർ രണ്ടാമത്തെ ഫയർവാളും അതേ നിയമവും ചേർക്കും.