Izvorni NAT skrije naslove odjemalcev pred poznejšim požarnim zidom

Pravilo, napisano za odjemalce osebja in laboratorija, pride na novi robni požarni zid in se tiho ujema z vsem ali z ničimer. Vzrok je višje: prehod je že prepisal naslove odjemalcev, zato pravilo vidi en naslov tranzita namesto dveh skupin. Dodajanje naprave ne obnovi informacije, ki jo je pot odstranila. Poiščite zadnjo točko, kjer razlika še obstaja, preden napišete politiko.

Zakaj robno pravilo vidi en naslov

Pretvorba mnogih v enega preslika vsak notranji par naslova in vrat na skupni zunanji naslov z dodeljenimi vrati. Pogovori ostanejo za prevajalnik razločljivi zaradi teh vezav vrat, vendar naprava nižje, ki izvaja preprosto ujemanje izvorne predpone, vidi samo skupni naslov. To zadostuje, da sta dve skupini pri pravilu enaki. Paketi še vedno prihajajo; združevanje ne.

Preverite, kaj vmesnik požarnega zidu dejansko opazuje, ne kaj obljublja diagram. Oba se pogosteje razlikujeta, kot kdor koli pričakuje.

Poiščite zadnjo uveljavljivo identiteto

Začnite na točki uveljavljanja in hodite nazaj, dokler se ne pojavi prvotna predpona. Mejo običajno najdeta dva ukaza.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Tabela NAT prikazuje, kateri promet se prevaja in po katerem pravilu, medtem ko seznam conntrack prikazuje izvirne in prevedene pare za aktivne tokove. Kjer zgornji požarni zid vidi vedno le prevedeni naslov, izvorna pravila po skupinah ne morejo delovati, ne glede na to, kako so napisana. Hodite po poti naprej ali nazaj, dokler ne pridete do naprave, na kateri dve odjemalski predponi ostaneta različni. Zabeležite vir na vsakem skoku, namesto da bi zaupali oznaki znotraj ali zunaj.

Tri postavitve in koliko vsaka stane

Politika lahko živi na prehodu, ki prevaja, kjer so izvirni viri še vidni. Lahko živi na zgornjem požarnem zidu, če tranzit postane usmerjen namesto preveden, kar pomeni dodajanje povratnih poti in odstranitev prepisovanja vira. Ali pa jo je mogoče uveljaviti na identiteti namesto na naslovih, prek overjenega nadzora, ki pozna uporabnika ali napravo. Vsaka izbira ima lastnika in način odpovedi, in le prvi dve ohranjata pravilo čisto o izvornih naslovih.

Karkoli izberete, dokumentirajte pravilo skupaj z naslovom, ki se ujema z njim. Pravilo, katerega predpostavka o naslovu se je tiho spremenila, je slabše od nobenega pravila, ker se še naprej ujema s prometom, medtem ko ščiti nekaj povsem drugega.

Sprejem: en dovoljen in en zavrnjen odjemalec

Preizkusite s parom odjemalcev, po enim iz vsake skupine, in zabeležite, kako vsak pride do točke uveljavljanja. Obdržite oba para ob rezultatu pravila, da dokaz pokaže, da je razlika preživela, in ne da obstaja drug požarni zid. Ponovite preizkus po spremembi NAT ali usmerjanja, ker je predstavljeni naslov tisti del, ki se tiho zlomi. Ohranite overjanje povsod, kjer je treba ljudi razlikovati, saj je izvorni naslov vhod politike, ne dokaz identitete.

Zapišite točko uveljavljanja, opaženi vir in pravilo v zahtevek. Sicer naslednji inženir doda drugi požarni zid in isto pravilo.