Kilde-NAT skjuler klientadressene for en senere brannmur

En regel skrevet for ansatt- og labklienter legges på den nye kantbrannmuren, og den matcher stille alt eller ingenting. Årsaken ligger lenger oppe: en gateway har allerede skrevet om klientadressene, så regelen ser én transitadresse i stedet for to grupper. Å legge til en enhet gjenoppretter ikke informasjonen som banen fjernet. Finn det siste punktet der forskjellen fortsatt finnes, før du skriver policyen.

Hvorfor kantregelen ser én adresse

Mange-til-én-oversettelse mapper hvert interne adresse- og portpar til en delt ekstern adresse med en tildelt port. Samtalene forblir skillbare for oversetteren gjennom disse portbindingene, men en enhet lenger ned som gjør en enkel kilde-prefiks-matching, ser bare den delte adressen. Det er nok til å gjøre to grupper identiske ved regelen. Pakkene kommer fortsatt; grupperingen ikke.

Sjekk hva brannmurens grensesnitt faktisk observerer, ikke hva diagrammet lover. De to er oftere forskjellige enn noen forventer.

Finn den siste håndhevbare identiteten

Start ved håndhevingspunktet og gå bakover til det opprinnelige prefikset dukker opp. To kommandoer finner vanligvis grensen.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT-tabellen viser hvilken trafikk som oversettes og av hvilken regel, mens conntrack-listen viser opprinnelige og oversatte par for aktive strømmer. Der brannmuren lenger oppe bare ser den oversatte adressen, kan kildebaserte regler per gruppe ikke fungere, uansett hvordan de skrives. Gå framover eller bakover langs banen til du når en enhet der de to klientprefiksene forblir forskjellige. Noter kilden ved hvert hopp i stedet for å stole på en indre eller ytre etikett.

Tre plasseringer og hva hver koster

Policyen kan ligge på gatewayen som oversetter, der de opprinnelige kildene fortsatt er synlige. Den kan ligge på brannmuren lenger oppe hvis transitten blir rutet i stedet for oversatt, noe som betyr å legge til returruter og fjerne kildeomskrivingen. Eller den kan håndheves på identitet i stedet for adresser, gjennom en autentisert kontroll som kjenner brukeren eller enheten. Hvert valg har en eier og en feilmodus, og bare de to første holder regelen rent om kildeadresser.

Uansett hva du velger, dokumenter regelen sammen med adressen den matcher. En regel der adresseforutsetningen stille er endret, er verre enn ingen regel, fordi den fortsetter å matche trafikk mens den beskytter noe helt annet.

Aksept: én tillatt og én avvist klient

Test med et par klienter, én fra hver gruppe, og registrer hvordan hver av dem ankommer håndhevingspunktet. Behold begge parene ved siden av regleresultatet, slik at beviset viser at forskjellen overlevde, og ikke at det finnes en annen brannmur. Gjenta testen etter en NAT- eller rutingendring, fordi den presenterte adressen er den delen som brister stille. Behold autentisering der mennesker må skilles, siden en kildeadresse er et policyinndata, ikke et identitetsbevis.

Skriv håndhevingspunktet, den observerte kilden og regelen i saken. Ellers legger den neste ingeniøren til en annen brannmur og den samme regelen.