O NAT de origem oculta os endereços dos clientes de um firewall posterior

Uma regra escrita para clientes da equipa e do laboratório é colocada no novo firewall de borda, e corresponde silenciosamente a tudo ou a nada. A razão está a montante: um gateway já reescreveu os endereços dos clientes, pelo que a regra vê um único endereço de trânsito em vez de dois grupos. Acrescentar um equipamento não restaura a informação que o caminho removeu. Encontre o último ponto onde a distinção ainda existe antes de escrever a política.

Porque a regra de borda vê um só endereço

A tradução de muitos para um mapeia cada par interno de endereço e porta para um endereço externo partilhado com uma porta atribuída. As conversas continuam distinguíveis para o tradutor através dessas ligações de porta, mas um dispositivo mais abaixo que faz uma simples correspondência de prefixo de origem vê apenas o endereço partilhado. Isso basta para tornar dois grupos idênticos na regra. Os pacotes continuam a chegar; o agrupamento não.

Verifique o que a interface do firewall observa realmente, não o que o diagrama promete. Os dois diferem mais vezes do que alguém espera.

Encontre a última identidade aplicável

Comece no ponto de aplicação e recue até aparecer o prefixo original. Dois comandos costumam localizar a fronteira.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

A tabela NAT mostra que tráfego é traduzido e por que regra, enquanto a listagem de conntrack mostra os tuplos originais e traduzidos dos fluxos ativos. Onde o firewall a montante só vê o endereço traduzido, as regras de origem por grupo não podem funcionar ali, por muito bem escritas que estejam. Avance ou recue ao longo do caminho até chegar a um dispositivo em que os dois prefixos de cliente continuam distintos. Registe a origem em cada salto em vez de confiar numa etiqueta de interior ou exterior.

Três posições e o custo de cada uma

A política pode viver no gateway que traduz, onde as origens originais ainda são visíveis. Pode viver no firewall a montante se o trânsito passar a ser encaminhado em vez de traduzido, o que significa acrescentar rotas de retorno e remover a reescrita da origem. Ou pode ser aplicada à identidade em vez dos endereços, através de um controlo autenticado que conhece o utilizador ou o dispositivo. Cada escolha tem um proprietário e um modo de falha, e apenas as duas primeiras mantêm a regra puramente sobre endereços de origem.

Escolha o que escolher, documente a regra juntamente com o endereço a que corresponde. Uma regra cuja suposição de endereço mudou silenciosamente é pior do que nenhuma regra, porque continua a corresponder ao tráfego enquanto protege algo completamente diferente.

Aceitação: um cliente permitido e outro recusado

Teste com um par de clientes, um de cada grupo, e registe como cada um chega ao ponto de aplicação. Guarde ambos os tuplos ao lado do resultado da regra, para que a evidência mostre que a distinção sobreviveu e não que existe outro firewall. Repita o teste após uma alteração de NAT ou de encaminhamento, porque o endereço apresentado é a parte que quebra em silêncio. Mantenha a autenticação onde as pessoas têm de ser distinguidas, já que um endereço de origem é uma entrada da política, não uma prova de identidade.

Escreva o ponto de aplicação, a origem observada e a regra no ticket. Caso contrário, o engenheiro seguinte acrescenta um segundo firewall e a mesma regra.