NAT-ul sursă ascunde adresele clienților de un firewall ulterior

O regulă scrisă pentru clienții staffului și ai laboratorului ajunge pe noul firewall de margine și se potrivește în liniște cu totul sau cu nimic. Motivul este în amonte: un gateway a rescris deja adresele clienților, așa că regula vede o singură adresă de tranzit în loc de două grupuri. Adăugarea unui echipament nu restaurează informația pe care calea a eliminat-o. Găsiți ultimul punct în care distincția mai există înainte de a scrie politica.

De ce regula de margine vede o singură adresă

Traducerea multe-într-una asociază fiecare pereche internă de adresă și port unei adrese externe comune, cu un port alocat. Conversațiile rămân distinse pentru traducător datorită acelor legături de port, dar un dispozitiv mai jos care face o simplă potrivire de prefix sursă vede doar adresa comună. Este suficient ca două grupuri să fie identice la regulă. Pachetele sosesc în continuare; gruparea nu.

Verificați ce observă de fapt interfața firewallului, nu ce promite diagrama. Cele două diferă mai des decât se așteaptă cineva.

Găsiți ultima identitate aplicabilă

Porniți de la punctul de aplicare și mergeți înapoi până apare prefixul original. Două comenzi găsesc de obicei granița.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Tabelul NAT arată ce trafic este tradus și de ce regulă, iar listarea conntrack arată perechile originale și traduse pentru fluxurile active. Acolo unde firewallul din amonte vede mereu doar adresa tradusă, regulile de sursă pe grupuri nu pot funcționa, oricum ar fi scrise. Mergeți înainte sau înapoi de-a lungul căii până ajungeți la un dispozitiv pe care cele două prefixe de client rămân distincte. Înregistrați sursa la fiecare salt în loc să vă bazați pe o etichetă de interior sau exterior.

Trei plasări și ce costă fiecare

Politica poate sta pe gatewayul care traduce, unde sursele originale sunt încă vizibile. Poate sta pe firewallul din amonte dacă tranzitul devine rutat în loc de tradus, ceea ce înseamnă adăugarea de rute de retur și eliminarea rescrierii sursei. Sau poate fi aplicată pe identitate în loc de adrese, printr-un control autentificat care cunoaște utilizatorul sau dispozitivul. Fiecare alegere are un proprietar și un mod de eșec, iar doar primele două păstrează regula pur despre adrese de sursă.

Orice ați alege, documentați regula împreună cu adresa cu care se potrivește. O regulă a cărei presupunere despre adresă s-a schimbat în liniște este mai rea decât nicio regulă, pentru că se potrivește în continuare cu traficul în timp ce protejează cu totul altceva.

Acceptare: un client permis și unul refuzat

Testați cu o pereche de clienți, unul din fiecare grup, și înregistrați cum ajunge fiecare la punctul de aplicare. Păstrați ambele perechi lângă rezultatul regulii, astfel încât dovada să arate că distincția a supraviețuit, nu că există alt firewall. Repetați testul după o schimbare de NAT sau de rutare, pentru că adresa prezentată este partea care se strică în liniște. Păstrați autentificarea oriunde oamenii trebuie distinși, deoarece o adresă de sursă este o intrare de politică, nu o dovadă de identitate.

Scrieți punctul de aplicare, sursa observată și regula în tichet. Altfel, următorul inginer adaugă un al doilea firewall și aceeași regulă.