Ittraġġa bejn LAN privati qabel ma żżid NAT ieħor
Spazju tal-indirizzi li jaqsam, rotta tar-ritorn nieqsa jew transitu mhux fiduċjuż jiddeċiedu bejn routing, NAT u tunnel. Iċċekkja dawk it-tlieta qabel ma teditja l-firewall.
Żewġ firewalls interni, segment tat-transitu privat wieħed u talba biex xi ftit hosts f’kull LAN ikunu jistgħu jitkellmu ma’ dawk fl-ieħor. Ir-rifless hu li titwaqqaf VPN jew tiżdied it-tieni saff NAT, u ż-żewġ riflessi jiswew aktar milli jistħoqq il-problema. Ir-routing ordinarju hu biżżejjed meta jseħħu tliet kundizzjonijiet: il-firxiet tal-indirizzi ma jaqtgħux, iż-żewġ naħat jistgħu jibagħtu t-traffiku lura lejn il-LAN l-ieħor, u s-segment tat-transitu huwa diġà fiduċjuż biżżejjed għad-dejta. Iċċekkja dawn it-tlieta qabel ma tiddisinja xi ħaġa, għax kull wieħed minnhom ibiddel it-tweġiba.
Tliet kundizzjonijiet li jiddeċiedu d-disinn
L-ewwel kundizzjoni hija l-ispazju tal-indirizzi. Jekk iż-żewġ LAN jużaw l-istess blokk RFC 1918, ir-routing ma jistax jiddistingwihom u t-traduzzjoni ssir inevitabbli minflok għażla. It-tieni hija rotta tar-ritorn: rotta minn A għal B hija bla użu sakemm B ma jafx ukoll kif jilħaq il-LAN ta’ A, u l-għarfien asimmetriku huwa l-aktar raġuni komuni li disinn bir-routing iħalli t-tweġibiet jaqgħu fis-skiet.
It-tielet hija l-fiduċja. Ir-routing iċaqlaq pakketti; ma jipproteġihomx. Segment tat-transitu privat ġewwa binja waħda huwa ħaġa oħra minn konsenja lil fornitur jew konnessjoni li taqsam backbone tal-kampus kondiviża. Jekk is-segment mhuwiex fiduċjuż, it-tweġiba hija tunnel bejn iż-żewġ firewalls, u l-pjan tar-routing hawn taħt għadu japplika ġo fih.
Id-disinn sempliċi jirbaħ biss meta t-tlieta jindikaw l-istess direzzjoni. Meta wieħed minnhom ifalli, sewwi dik il-kundizzjoni b’mod espliċitu minflok tkopriha bit-traduzzjoni, għax NAT jaħbi l-falliment minflok ma ssolvih.
Ibni l-pjan tar-rotot fuq in-netwerk tat-transitu
Agħti lil kull firewall indirizz fuq is-segment kondiviż u żid rotta speċifika waħda għal kull LAN remota. Xejn ieħor fil-konfigurazzjoni eżistenti m’għandu jiċċaqlaq, u b’mod partikolari r-rotta default tal-internet trid tibqa’ eżatt fejn hi. Li tissostitwixxi rotta default bil-firewall sieħeb jibgħat kull destinazzjoni mhux relatata mit-transitu, li hija bidla ferm akbar minn dik mitluba. Id-dokumentazzjoni ta’ pfSense dwar ir-routing statiku tiddeskrivi l-istess mudell rotta-plus-gateway għal dik il-pjattaforma, u l-kontroll ekwivalenti jeżisti fuq kwalunkwe firewall li fil-fatt tħaddem.
| Firewall | Remote LAN | Next hop on the transit |
|---|---|---|
| A | 10.40.0.0/24 | 192.0.2.20 |
| B | 10.30.0.0/24 | 192.0.2.10 |
Il-firewall A jservi 10.30.0.0/24 u l-firewall B jservi 10.40.0.0/24, b’żewġ indirizzi tat-transitu fuq 192.0.2.0/24. Kull host tal-LAN iżomm il-firewall lokali tiegħu bħala gateway, allura l-uniku stat ġdid huwa rotta waħda fuq kull naħa. Fuq firewall ibbażat fuq Linux l-istess pjan jidher hekk, u l-forwarding irid ikun attivat inkella r-rotta tiġi solvuta filwaqt li l-pakkett jintrema.
sysctl -w net.ipv4.ip_forward=1 ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1 ip route get 10.40.0.15 traceroute -n 10.40.0.15
Żomm il-filtrazzjoni separata mit-traduzzjoni
Ir-routing u l-politika huma kontrolli differenti, u huwa fit-tieni waħda li l-biċċa l-kbira tad-disinni bir-routing fil-fatt ifallu. Ippermetti s-sorsi, id-destinazzjonijiet u s-servizzi speċifiċi fil-fruntiera tad-dħul li l-pakketti fil-fatt jaqsmu, u ftakar li tikketta tal-interface bħal WAN hija isem, mhux stqarrija dwar il-fiduċja. Port tat-transitu li jġorr traffiku privat xorta jista’ jkollu l-imblukkar tal-indirizzi privati attivat b’mod default.
Imbagħad ħares lejn it-traduzzjoni tal-ħruġ qabel ma tikkonkludi li ma qed iseħħ l-ebda NAT. Regoli tal-ħruġ awtomatiċi jistgħu jerġgħu jiktbu traffiku li qatt ma kien maħsub għat-traduzzjoni, u dan jeqred l-indirizzi tas-sors li n-naħa l-oħra teħtieġ għall-politika u l-logs tagħha stess. Ikkonferma li l-flussi magħżula jżommu l-indirizzi oriġinali tagħhom, u ħalli r-regoli tat-traduzzjoni tal-internet għat-traffiku li għadu jeħtiġilhom.
iptables -t nat -S POSTROUTING iptables -t nat -L POSTROUTING -n -v tcpdump -ni eth1 -c 5 host 10.40.0.15
Meta NAT hija t-tweġiba onesta
It-traduzzjoni taqla’ postha meta l-firxiet tal-indirizzi verament jaqsmu u r-renumbering mhix disponibbli, jew meta politika teħtieġ li naħa waħda tara indirizz wieħed minflok subnetwork. F’dawk il-każijiet mappatura deliberata wieħed-għal-wieħed jew ristretta għall-ports hija deċiżjoni tad-disinn b’konsegwenzi magħrufa, mhux soluzzjoni ta’ ħarba.
Il-konsegwenza li trid tgħid bil-qawwa hija li n-naħa l-oħra ma tistax tibqa’ tara jew tiffiltra sorsi individwali. Il-logs jiġġarrfu għall-indirizz li jittraduc, il-politika għal kull host tieqaf taħdem, u s-soluzzjoni tal-problemi ssir każka ta’ liema host intern kellu fluss f’mument partikolari. Jekk xejn minn dan mhuwa importanti għat-traffiku inkwistjoni, NAT huwa tajjeb.
Meta t-transitu nnifsu huwa l-assunzjoni żbaljata
Jekk is-segment kondiviż jaqsam fornitur, fabric tal-iswiċċjar kondiviż jew kwalunkwe passaġġ fejn parti oħra tista’ taqra t-traffiku, ir-routing waħdu mhuwiex tweġiba sħiħa. Tunnel bejn iż-żewġ firewalls jagħtik kunfidenzjalità u awtentikazzjoni tas-sieħeb, u t-tabella tar-rotot ġewwa fih hija l-istess tabella li kont tikteb fuq it-transitu.
Iddeċiedi dan mill-mistoqsija tal-fiduċja fl-ewwel taqsima, mhux minn drawwa li l-VPNs huma aktar siguri. Tunnel fuq segment li diġà huwa privat iżid spiża operattiva u mod ieħor ta’ falliment bla gwadann, filwaqt li routing fuq segment mhux fiduċjuż ibiddel il-kunfidenzjalità ma’ sempliċità li ma tistax taffordja. Ikteb liema mit-tliet kundizzjonijiet wassal għażla, u l-inġinier li jmiss mhux se jkollu jerġa’ jiddiskutiha.