स्रोत NAT ले ग्राहक ठेगानाहरू पछिल्लो फायरवालबाट लुकाउँछ

कर्मचारी र प्रयोगशाला ग्राहकहरूका लागि लेखिएको नियम नयाँ एज फायरवालमा राखिन्छ, र त्यो चुपचाप सबैसँग वा केहीसँग मिल्दैन। कारण माथि छ: गेटवेले पहिले नै ग्राहक ठेगानाहरू पुनःलेखन गरिसकेको छ, त्यसैले नियमले दुई समूहको सट्टा एउटै ट्रान्जिट ठेगाना देख्छ। उपकरण थप्दा बाटोले हटाएको जानकारी फिर्ता आउँदैन। नीति लेख्नुअघि फरक अझै रहेको अन्तिम बिन्दु खोज्नुहोस्।

एज नियमले एउटै ठेगाना किन देख्छ

धेरै-देखि-एक अनुवादले प्रत्येक आन्तरिक ठेगाना र पोर्ट जोडीलाई तोकिएको पोर्टसहित साझा बाह्य ठेगानामा म्याप गर्छ। ती पोर्ट बन्धनहरूमार्फत कुराकानी अनुवादकका लागि छुट्टै रहन्छ, तर तलको उपकरण जसले सरल स्रोत-उपसर्ग मिलान गर्छ, त्यसले साझा ठेगाना मात्र देख्छ। नियममा दुई समूहलाई एउटै बनाउन त्यति नै पर्याप्त छ। प्याकेटहरू अझै आउँछन्; समूहीकरण आउँदैन।

रेखाचित्रले वाचा गरेको होइन, फायरवालको इन्टरफेसले वास्तवमा के अवलोकन गर्छ त्यो जाँच्नुहोस्। दुवै जोसुकैले अपेक्षा गरेभन्दा बढी पटक फरक पर्छन्।

अन्तिम लागू गर्न सकिने पहिचान खोज्नुहोस्

कार्यान्वयन बिन्दुबाट सुरु गरी मूल उपसर्ग देखिनेसम्म पछाडि हिँड्नुहोस्। सीमा सामान्यतया दुई आदेशले भेट्टाउँछन्।

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT तालिकाले कुन ट्राफिक कुन नियमले अनुवाद हुन्छ देखाउँछ, जबकि conntrack सूचीले सक्रिय प्रवाहका मूल र अनुवादित जोडीहरू देखाउँछ। जहाँ माथिको फायरवालले अनुवादित ठेगाना मात्र देख्छ, त्यहाँ समूह अनुसारका स्रोत नियम जेसुकै लेखिए पनि काम गर्न सक्दैनन्। बाटोमा अगाडि वा पछाडि हिँड्नुहोस्, दुई ग्राहक उपसर्ग छुट्टै रहने उपकरणसम्म पुग्नुहोस्। भित्री वा बाहिरी लेबलमा भर पर्नुको सट्टा प्रत्येक हपमा स्रोत लेख्नुहोस्।

तीन स्थान र प्रत्येकको मूल्य

नीति अनुवाद गर्ने गेटवेमा रहन सक्छ, जहाँ मूल स्रोतहरू अझै देखिन्छन्। यदि ट्रान्जिट अनुवादको सट्टा रुटिङ हुन्छ भने यो माथिको फायरवालमा पनि रहन सक्छ, जसको अर्थ फिर्ती मार्गहरू थप्नु र स्रोत पुनःलेखन हटाउनु हो। वा यसलाई ठेगानाको सट्टा पहिचानमा लागू गर्न सकिन्छ, प्रयोगकर्ता वा उपकरण चिन्ने प्रमाणित नियन्त्रणमार्फत। प्रत्येक विकल्पको मालिक र असफलता विधि हुन्छ, र पहिला दुईले मात्र नियमलाई शुद्ध रूपमा स्रोत ठेगानासम्बन्धी राख्छन्।

जुनसुकै छान्नुहोस्, नियमलाई त्यसले मिल्ने ठेगानासँगै अभिलेख गर्नुहोस्। जसको ठेगाना सम्बन्धी धारणा चुपचाप बदलियो त्यो नियम नै नहुनुभन्दा नराम्रो हो, किनभने त्यो ट्राफिकसँग मिल्दै जान्छ अनि पूर्ण रूपमा अर्कै कुराको संरक्षण गर्छ।

स्वीकृति: एउटा अनुमत र एउटा अस्वीकृत ग्राहक

प्रत्येक समूहबाट एक-एक गरी दुई ग्राहकसँग परीक्षण गर्नुहोस् र प्रत्येक कार्यान्वयन बिन्दुमा कसरी पुग्छ लेख्नुहोस्। दुवै जोडी नियमको नतिजाको छेउमा राख्नुहोस्, ताकि प्रमाणले फरक कायम रहेको देखाओस्, अर्को फायरवाल छ भनेर होइन। NAT वा रुटिङ परिवर्तनपछि परीक्षण दोहोर्याउनुहोस्, किनभने प्रस्तुत ठेगाना नै चुपचाप बिग्रने भाग हो। जहाँ मानिसहरूलाई छुट्याउनुपर्छ त्यहाँ प्रमाणीकरण कायम राख्नुहोस्, किनभने स्रोत ठेगाना नीतिको इनपुट हो, पहिचानको प्रमाण होइन।

कार्यान्वयन बिन्दु, अवलोकन गरिएको स्रोत र नियम टिकटमा लेख्नुहोस्। नत्र अर्को इन्जिनियरले दोस्रो फायरवाल र त्यही नियम थप्नेछ।