NAT sumber menyembunyikan alamat pelanggan daripada firewall kemudian

Peraturan yang ditulis untuk pelanggan kakitangan dan makmal diletakkan pada firewall tepi baharu, dan ia secara senyap sepadan dengan segala-galanya atau tiada apa-apa. Puncanya di huluan: gateway telah menulis semula alamat pelanggan, jadi peraturan hanya melihat satu alamat transit dan bukan dua kumpulan. Menambah perkakas tidak memulihkan maklumat yang telah dibuang oleh laluan. Cari titik terakhir tempat perbezaan masih wujud sebelum menulis dasar.

Mengapa peraturan tepi melihat satu alamat

Terjemahan banyak-ke-satu memetakan setiap pasangan alamat dan port dalaman kepada satu alamat luaran kongsi dengan port yang ditetapkan. Perbualan kekal boleh dibezakan oleh penterjemah melalui ikatan port itu, tetapi peranti di hilir yang melakukan padanan awalan sumber mudah hanya melihat alamat kongsi itu. Itu cukup untuk menjadikan dua kumpulan sama pada peraturan. Paket masih tiba; pengelompokan tidak.

Periksa apa yang sebenarnya diperhatikan oleh antara muka firewall, bukan apa yang dijanjikan rajah. Kedua-duanya lebih kerap berbeza daripada yang dijangka sesiapa.

Cari identiti terakhir yang boleh dikuatkuasakan

Mulakan di titik penguatkuasaan dan berjalan ke belakang sehingga awalan asal muncul. Dua arahan biasanya menemui sempadan itu.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Jadual NAT menunjukkan trafik mana yang diterjemah dan oleh peraturan mana, manakala senarai conntrack menunjukkan pasangan asal dan terjemahan untuk aliran aktif. Di tempat firewall huluan hanya melihat alamat terjemahan, peraturan sumber setiap kumpulan tidak boleh berfungsi, tidak kira bagaimana ia ditulis. Berjalan ke hadapan atau ke belakang sepanjang laluan sehingga anda sampai ke peranti yang mengekalkan dua awalan pelanggan berbeza. Catat sumber pada setiap hop dan bukan mempercayai label dalam atau luar.

Tiga penempatan dan kos setiap satu

Dasar boleh tinggal pada gateway yang menterjemah, tempat sumber asal masih kelihatan. Ia boleh tinggal pada firewall huluan jika transit menjadi dihalakan dan bukan diterjemah, yang bermaksud menambah laluan balik dan membuang penulisan semula sumber. Atau ia boleh dikuatkuasakan pada identiti dan bukan alamat, melalui kawalan disahkan yang mengenali pengguna atau peranti. Setiap pilihan mempunyai pemilik dan mod kegagalan, dan hanya dua yang pertama mengekalkan peraturan itu semata-mata tentang alamat sumber.

Apa pun yang anda pilih, dokumentasikan peraturan itu bersama alamat yang dipadankannya. Peraturan yang andaian alamatnya berubah secara senyap lebih buruk daripada tiada peraturan, kerana ia terus memadani trafik sambil melindungi sesuatu yang sama sekali lain.

Penerimaan: satu pelanggan dibenarkan dan satu ditolak

Uji dengan sepasang pelanggan, satu daripada setiap kumpulan, dan rakam bagaimana setiap satu tiba di titik penguatkuasaan. Simpan kedua-dua pasangan di sebelah hasil peraturan, supaya bukti menunjukkan perbezaan itu kekal dan bukan bahawa ada firewall lain. Ulangi ujian selepas perubahan NAT atau penghalakan, kerana alamat yang dikemukakan ialah bahagian yang rosak secara senyap. Kekalkan pengesahan di tempat orang perlu dibezakan, kerana alamat sumber ialah input dasar, bukan bukti identiti.

Tulis titik penguatkuasaan, sumber yang diperhatikan dan peraturan itu ke dalam tiket. Jika tidak, jurutera seterusnya menambah firewall kedua dan peraturan yang sama.