स्रोत NAT ग्राहकांचे पत्ते पुढील फायरवॉलपासून लपवते

कर्मचारी आणि लॅब ग्राहकांसाठी लिहिलेला नियम नवीन एज फायरवॉलवर जातो, आणि तो शांतपणे सर्वांशी किंवा कशाशीही जुळत नाही. कारण वर आहे: गेटवेने आधीच ग्राहकांचे पत्ते पुन्हा लिहिले आहेत, त्यामुळे नियम दोन गटांऐवजी एकच ट्रान्झिट पत्ता पाहतो. उपकरण जोडल्याने मार्गाने काढून टाकलेली माहिती परत येत नाही. धोरण लिहिण्यापूर्वी फरक अजून असलेला शेवटचा बिंदू शोधा.

एज नियम एकच पत्ता का पाहतो

अनेक-ते-एक भाषांतर प्रत्येक अंतर्गत पत्ता आणि पोर्ट जोडीला नियुक्त पोर्टसह सामायिक बाह्य पत्त्याशी जोडते. त्या पोर्ट बांधण्यांमुळे संभाषणे अनुवादकासाठी वेगळी राहतात, पण खालील उपकरण जे साधे स्रोत-उपसर्ग जुळवणी करते त्याला फक्त सामायिक पत्ता दिसतो. नियमावर दोन गट एकसारखे करण्यासाठी ते पुरेसे आहे. पॅकेट अजूनही येतात; गटीकरण येत नाही.

आकृती काय वचन देते ते नव्हे, फायरवॉलचा इंटरफेस प्रत्यक्षात काय निरीक्षण करतो ते तपासा. दोन्ही कोणी अपेक्षा करते त्यापेक्षा जास्त वेळा वेगळे असतात.

शेवटची लागू करण्यायोग्य ओळख शोधा

अंमलबजावणीच्या बिंदूपासून सुरुवात करा आणि मूळ उपसर्ग दिसेपर्यंत मागे चला. सीमा सहसा दोन आदेश शोधतात.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT तक्ता कोणता रहदारी कोणत्या नियमाने भाषांतरित होतो हे दाखवतो, तर conntrack यादी सक्रिय प्रवाहांच्या मूळ आणि भाषांतरित जोड्या दाखवते. जिथे वरील फायरवॉल फक्त भाषांतरित पत्ता पाहतो, तिथे गटानुसार स्रोत नियम कसेही लिहिले तरी काम करू शकत नाहीत. मार्गावर पुढे किंवा मागे चला, दोन ग्राहक उपसर्ग वेगळे राहणाऱ्या उपकरणापर्यंत पोहोचेपर्यंत. आतल्या किंवा बाहेरच्या लेबलवर विश्वास ठेवण्याऐवजी प्रत्येक टप्प्यावर स्रोत नोंदवा.

तीन स्थाने आणि प्रत्येकाची किंमत

धोरण भाषांतर करणाऱ्या गेटवेवर राहू शकते, जिथे मूळ स्रोत अजून दिसतात. जर ट्रान्झिट भाषांतराऐवजी मार्गनिर्देशित झाला तर ते वरील फायरवॉलवरही राहू शकते, याचा अर्थ परतीचे मार्ग जोडणे आणि स्रोत पुनर्लेखन काढून टाकणे. किंवा पत्त्यांऐवजी ओळखीवर लागू करता येते, वापरकर्ता किंवा उपकरण ओळखणाऱ्या प्रमाणित नियंत्रणाद्वारे. प्रत्येक निवडीला मालक आणि अयशस्वी होण्याची पद्धत असते, आणि फक्त पहिल्या दोन नियमाला केवळ स्रोत पत्त्यांबद्दल ठेवतात.

तुम्ही कोणतीही निवड करा, नियम त्याला जुळणाऱ्या पत्त्यासह दस्तऐवजीकरण करा. ज्या नियमाची पत्त्याबद्दलची धारणा शांतपणे बदलली आहे तो नियम नसण्यापेक्षा वाईट आहे, कारण तो रहदारीशी जुळत राहतो आणि तरीही पूर्णपणे वेगळ्या गोष्टीचे संरक्षण करतो.

स्वीकृती: एक अनुमत आणि एक नाकारलेला ग्राहक

प्रत्येक गटातून एक अशा दोन ग्राहकांसह चाचणी करा आणि प्रत्येकजण अंमलबजावणीच्या बिंदूपर्यंत कसा पोहोचतो ते नोंदवा. दोन्ही जोड्या नियमाच्या निकालाजवळ ठेवा, जेणेकरून पुरावा दाखवेल की फरक टिकून राहिला, दुसरे फायरवॉल आहे असे नव्हे. NAT किंवा मार्गनिर्देशन बदलल्यानंतर चाचणी पुन्हा करा, कारण सादर केलेला पत्ता हाच शांतपणे तुटणारा भाग आहे. जिथे लोकांना वेगळे करावे लागते तिथे प्रमाणीकरण ठेवा, कारण स्रोत पत्ता धोरणाचा इनपुट आहे, ओळखीचा पुरावा नाही.

अंमलबजावणीचा बिंदू, निरीक्षित स्रोत आणि नियम तिकिटात लिहा. नाहीतर पुढील अभियंता दुसरे फायरवॉल आणि तोच नियम जोडेल.