In-NAT tas-sors jaħbi l-indirizzi tal-klijenti minn firewall aktar tard

Regola miktuba għall-klijenti tal-persunal u tal-laboratorju titqiegħed fuq il-firewall il-ġdid tat-tarf, u hija bil-kwiet taqbel ma' kollox jew ma' xejn. Ir-raġuni tinsab 'il fuq: gateway diġà kiteb mill-ġdid l-indirizzi tal-klijenti, għalhekk ir-regola tara indirizz wieħed tat-transitu minflok żewġ gruppi. Iż-żieda ta' apparat ma terġax tagħti l-informazzjoni li neħħa t-triq. Sib l-aħħar punt fejn id-distinzjoni għadha teżisti qabel tikteb il-politika.

Għaliex ir-regola tat-tarf tara indirizz wieħed

It-traduzzjoni ta' ħafna għal wieħed tassenja kull par ta' indirizz u port intern lil indirizz estern komuni b'port assenjat. Il-konversazzjonijiet jibqgħu jingħarfu għat-traduttur permezz ta' dawk ir-rabtiet tal-port, iżda apparat aktar 'l isfel li jagħmel qbil sempliċi tal-prefiss tas-sors jara biss l-indirizz komuni. Dan biżżejjed biex żewġ gruppi jsiru identiċi fir-regola. Il-pakketti xorta jaslu; l-iggruppar le.

Iċċekkja x'qiegħed attwalment josserva l-interface tal-firewall, mhux x'iwiegħed id-dijagramma. It-tnejn huma differenti aktar spiss milli jistenna ħadd.

Sib l-aħħar identità infurzabbli

Ibda mill-punt tal-infurzar u mur lura sakemm jidher il-prefiss oriġinali. Żewġ komandi normalment isibu l-fruntiera.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

It-tabella NAT turi liema traffiku jiġi tradott u b'liema regola, filwaqt li l-lista conntrack turi l-par oriġinali u tradott għall-flussi attivi. Fejn il-firewall ta' fuq jara biss l-indirizz tradott, ir-regoli tas-sors għal kull grupp ma jistgħux jaħdmu hemm, kif inhi miktuba. Mur 'il quddiem jew lura tul it-triq sakemm tasal għal apparat li fuqu ż-żewġ prefissi tal-klijent jibqgħu distinti. Innota s-sors f'kull qabża minflok ma tafda t-tikketta ta' ġewwa jew ta' barra.

Tliet postijiet u x'jiswa kull wieħed

Il-politika tista' tgħix fuq il-gateway li jittraduċi, fejn is-sorsi oriġinali għadhom jidhru. Tista' tgħix fuq il-firewall ta' fuq jekk it-transitu jsir routing minflok traduzzjoni, li jfisser li żżid rotot tar-ritorn u tneħħi l-kitba mill-ġdid tas-sors. Jew tista' tiġi infurzata fuq l-identità minflok fuq l-indirizzi, permezz ta' kontroll awtentikat li jaf lill-utent jew lill-apparat. Kull għażla għandha sid u mod ta' falliment, u għall-ewwel tnejn biss iżżomm ir-regola purament dwar indirizzi tas-sors.

Liema tgħażel, iddokumenta r-regola flimkien mal-indirizz li magħha taqbel. Regola li l-assunzjoni tal-indirizz tagħha nbidlet bil-kwiet hija agħar minn ebda regola, għax tkompli taqbel mat-traffiku waqt li tipproteġi xi ħaġa kompletament oħra.

Aċċettazzjoni: klijent wieħed permess u wieħed miċħud

Ittestja b'par klijenti, wieħed minn kull grupp, u aqbad kif kull wieħed jasal għall-punt tal-infurzar. Żomm iż-żewġ pari ħdejn ir-riżultat tar-regola, sabiex l-evidenza turi li d-distinzjoni baqgħet ħajja u mhux li teżisti firewall oħra. Erġa' għamel it-test wara bidla fin-NAT jew fir-routing, għax l-indirizz ippreżentat huwa l-parti li tinkiser bil-kwiet. Żomm l-awtentikazzjoni fejn in-nies iridu jiġu distinti, għax indirizz tas-sors huwa input tal-politika, mhux prova tal-identità.

Ikteb il-punt tal-infurzar, is-sors osservat u r-regola fit-ticket. Inkella l-inġinier li jmiss iżid it-tieni firewall u l-istess regola.