Kjelde-NAT skjuler klientadressene for ein seinare brannmur

Ein regel skriven for tilsette- og labklientar blir lagd på den nye kantbrannmuren, og han matchar stille alt eller ingenting. Årsaka ligg lenger oppe: ein gateway har allereie skrive om klientadressene, så regelen ser éi transitadresse i staden for to grupper. Å leggje til ein eining gjenopprettar ikkje informasjonen som vegen fjerna. Finn det siste punktet der skilnaden framleis finst, før du skriv policyen.

Kvifor kantregelen ser éi adresse

Mange-til-ein-omsetjing mappar kvart interne adresse- og portpar til ei delt ekstern adresse med ein tildelt port. Samtalane blir framleis skilbare for omsetjaren gjennom desse portbindingane, men ei eining lenger nede som gjer ein enkel kjelde-prefiks-match, ser berre den delte adressa. Det er nok til å gjere to grupper identiske ved regelen. Pakkane kjem framleis; grupperinga ikkje.

Sjekk kva grensesnittet til brannmuren faktisk observerer, ikkje kva diagrammet lovar. Dei to er oftare ulike enn nokon ventar.

Finn den siste handhevbare identiteten

Start ved handhevingspunktet og gå bakover til det opphavlege prefikset dukkar opp. To kommandoar finn vanlegvis grensa.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT-tabellen viser kva trafikk som blir omsett og av kven regel, medan conntrack-lista viser opphavlege og omsette par for aktive straumar. Der brannmuren lenger oppe berre ser den omsette adressa, kan kjeldetbaserte reglar per gruppe ikkje fungere, uansett korleis dei er skrivne. Gå framover eller bakover langs vegen til du når ei eining der dei to klientprefiksa blir verande ulike. Noter kjelda ved kvar hopp i staden for å stole på ei indre eller ytre etikett.

Tre plasseringar og kva kvar kostar

Policyen kan liggje på gatewayen som omset, der dei opphavlege kjeldene framleis er synlege. Han kan liggje på brannmuren lenger oppe om transitten blir ruta i staden for omsett, noko som tyder å leggje til returruter og fjerne kjeldeomskrivinga. Eller han kan handhevast på identitet i staden for adresser, gjennom ein autentisert kontroll som kjenner brukaren eller eininga. Kvart val har ein eigar og ein feilmodus, og berre dei to første held regelen reint om kjeldeadresser.

Uansett kva du vel, dokumenter regelen saman med adressa han matchar. Ein regel der adresseføresetnaden stille er endra, er verre enn ingen regel, fordi han held fram med å matche trafikk medan han vernar noko heilt anna.

Aksept: éin tillaten og éin avvist klient

Test med eit par klientar, éin frå kvar gruppe, og registrer korleis kvar av dei kjem fram til handhevingspunktet. Hald båe para ved sida av regelresultatet, slik at provet viser at skilnaden overlevde, og ikkje at det finst ein annan brannmur. Gjenta testen etter ei NAT- eller rutingendring, fordi den presenterte adressa er den delen som brest stille. Hald autentisering der menneske må skiljast, sidan ei kjeldeadresse er eit policyinndata, ikkje eit identitetsprov.

Skriv handhevingspunktet, den observerte kjelda og regelen i saka. Elles legg den neste ingeniøren til ein annan brannmur og den same regelen.