Исходный NAT скрывает адреса клиентов от более позднего межсетевого экрана

Правило, написанное для клиентов сотрудников и лаборатории, попадает на новый пограничный межсетевой экран и молча совпадает со всем или ни с чем. Причина выше: шлюз уже переписал адреса клиентов, поэтому правило видит один транзитный адрес вместо двух групп. Добавление устройства не восстанавливает информацию, которую удалил путь. Найдите последнюю точку, где различие ещё существует, прежде чем писать политику.

Почему пограничное правило видит один адрес

Преобразование «многие в один» сопоставляет каждую внутреннюю пару адреса и порта общему внешнему адресу с назначенным портом. Разговоры остаются различимыми для преобразователя благодаря этим привязкам портов, но устройство ниже по пути, выполняющее простое сопоставление префикса источника, видит только общий адрес. Этого достаточно, чтобы две группы стали одинаковыми на уровне правила. Пакеты всё ещё приходят; группировка — нет.

Проверьте, что интерфейс межсетевого экрана действительно наблюдает, а не то, что обещает схема. Эти два расходятся чаще, чем кто-либо ожидает.

Найдите последнюю применимую идентичность

Начните в точке применения и идите назад, пока не появится исходный префикс. Обычно границу находят две команды.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Таблица NAT показывает, какой трафик и каким правилом преобразуется, а список conntrack показывает исходные и преобразованные пары для активных потоков. Там, где верхний межсетевой экран видит только преобразованный адрес, правила источника по группам не могут работать, как бы они ни были написаны. Идите по пути вперёд или назад, пока не дойдёте до устройства, на котором два префикса клиентов остаются различимыми. Записывайте источник на каждом шаге вместо того, чтобы доверять метке «внутри» или «снаружи».

Три размещения и их цена

Политика может жить на преобразующем шлюзе, где исходные источники ещё видны. Она может жить на верхнем межсетевом экране, если транзит становится маршрутизируемым, а не преобразуемым, что означает добавление обратных маршрутов и удаление переписывания источника. Или её можно применять к идентичности, а не к адресам, через аутентифицированное управление, которое знает пользователя или устройство. У каждого выбора есть владелец и режим отказа, и только первые два оставляют правило чисто об адресах источника.

Что бы вы ни выбрали, документируйте правило вместе с адресом, которому оно соответствует. Правило, предположение об адресе которого молча изменилось, хуже отсутствия правила, потому что оно продолжает совпадать с трафиком, защищая нечто совершенно другое.

Приёмка: один разрешённый и один запрещённый клиент

Проверьте на паре клиентов, по одному из каждой группы, и зафиксируйте, как каждый попадает в точку применения. Сохраните обе пары рядом с результатом правила, чтобы доказательство показывало, что различие сохранилось, а не что существует другой межсетевой экран. Повторите тест после изменения NAT или маршрутизации, потому что представляемый адрес — это та часть, которая тихо ломается. Сохраняйте аутентификацию там, где людей нужно различать, поскольку адрес источника — это вход политики, а не доказательство идентичности.

Запишите точку применения, наблюдаемый источник и правило в заявку. Иначе следующий инженер добавит второй межсетевой экран и то же правило.