Zdrojový NAT skrýva adresy klientov pred neskorším firewallom

Pravidlo napísané pre klientov personálu a laboratória sa nasadí na nový okrajový firewall a ticho sa zhoduje so všetkým alebo s ničím. Príčina je vyššie: brána už prepísala adresy klientov, takže pravidlo vidí jednu tranzitnú adresu namiesto dvoch skupín. Pridanie zariadenia neobnoví informáciu, ktorú cesta odstránila. Nájdite posledný bod, kde rozdiel ešte existuje, predtým ako napíšete politiku.

Prečo okrajové pravidlo vidí jednu adresu

Preklad mnohých na jedno priraďuje každú vnútornú dvojicu adresy a portu spoločnej externej adrese s prideleným portom. Rozhovory zostávajú pre prekladač rozlíšiteľné vďaka týmto portovým väzbám, ale zariadenie nižšie, ktoré robí jednoduchú zhodu zdrojového prefixu, vidí len spoločnú adresu. To stačí na to, aby dve skupiny boli pri pravidle totožné. Pakety stále prichádzajú; zoskupenie nie.

Overte, čo rozhranie firewallu skutočne pozoruje, nie čo sľubuje diagram. Obe sa líšia častejšie, než ktokoľvek očakáva.

Nájdite poslednú vynútiteľnú identitu

Začnite v mieste vynútenia a choďte späť, kým sa neobjaví pôvodný prefix. Hranicu zvyčajne nájdu dva príkazy.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Tabuľka NAT ukazuje, ktorá prevádzka sa prekladá a ktorým pravidlom, zatiaľ čo výpis conntrack ukazuje pôvodné a preložené dvojice pre aktívne toky. Tam, kde horný firewall vidí vždy len preloženú adresu, zdrojové pravidlá po skupinách nemôžu fungovať, nech sú napísané akokoľvek. Choďte po ceste dopredu alebo dozadu, kým nedôjdete k zariadeniu, na ktorom dva klientske prefixy zostávajú rozdielne. Zaznamenajte zdroj na každom skoku namiesto dôvery v označenie vnútri alebo vonku.

Tri umiestnenia a čo každé stojí

Politika môže žiť na prekladajúcej bráne, kde sú pôvodné zdroje ešte viditeľné. Môže žiť na hornom firewalle, ak sa tranzit stane smerovaným namiesto prekladaného, čo znamená pridať spätné trasy a odstrániť prepis zdroja. Alebo ju možno vynútiť na identite namiesto adries, cez autentizovanú kontrolu, ktorá pozná používateľa alebo zariadenie. Každá voľba má vlastníka a spôsob zlyhania a iba prvé dve udržiavajú pravidlo čisto o zdrojových adresách.

Čokoľvek si vyberiete, zdokumentujte pravidlo spolu s adresou, ktorej zodpovedá. Pravidlo, ktorého predpoklad o adrese sa ticho zmenil, je horšie ako žiadne pravidlo, pretože ďalej zodpovedá prevádzke, zatiaľ čo chráni niečo úplne iné.

Prijatie: jeden povolený a jeden odmietnutý klient

Otestujte s dvojicou klientov, po jednom z každej skupiny, a zachyťte, ako sa každý dostane do miesta vynútenia. Uchovajte obe dvojice vedľa výsledku pravidla, aby dôkaz ukázal, že rozdiel prežil, a nie že existuje ďalší firewall. Zopakujte test po zmene NAT alebo smerovania, pretože predkladaná adresa je časť, ktorá sa ticho láme. Udržujte autentifikáciu všade, kde treba ľudí rozlíšiť, pretože zdrojová adresa je vstup politiky, nie dôkaz identity.

Zapíšte miesto vynútenia, pozorovaný zdroj a pravidlo do tiketu. Inak ďalší inžinier pridá druhý firewall a to isté pravidlo.