NAT burimor fsheh adresat e klientëve nga një firewall i mëvonshëm

Një rregull i shkruar për klientët e stafit dhe laboratorit vendoset në firewall-in e ri të skajit dhe përputhet në heshtje me gjithçka ose me asgjë. Arsyeja është më lart: një portë ka rishkruar tashmë adresat e klientëve, kështu që rregulli sheh një adresë tranziti në vend të dy grupeve. Shtimi i një pajisjeje nuk rikthen informacionin që rruga hoqi. Gjeni pikën e fundit ku dallimi ekziston ende përpara se të shkruani politikën.

Pse rregulli i skajit sheh një adresë të vetme

Përkthimi shumë-në-një lidh çdo çift të brendshëm adrese dhe porte me një adresë të jashtme të përbashkët me një port të caktuar. Bisedat mbeten të dallueshme për përkthyesin përmes atyre lidhjeve të portit, por një pajisje më poshtë që bën një përputhje të thjeshtë prefiksi burimor sheh vetëm adresën e përbashkët. Kjo mjafton që dy grupe të jenë identikë në rregull. Paketat vazhdojnë të mbërrijnë; grupimi jo.

Kontrolloni çfarë vëzhgon vërtet ndërfaqja e firewall-it, jo çfarë premton diagrami. Të dy ndryshojnë më shpesh nga sa pret kushdo.

Gjeni identitetin e fundit të zbatueshëm

Filloni në pikën e zbatimit dhe ecni prapa derisa të shfaqet prefiksi origjinal. Zakonisht dy komanda e gjejnë kufirin.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Tabela NAT tregon cili trafik përkthehet dhe nga cili rregull, ndërsa lista conntrack tregon çiftet origjinale dhe të përkthyera për rrjedhat aktive. Aty ku firewall-i më lart sheh gjithmonë vetëm adresën e përkthyer, rregullat burimore për grup nuk mund të funksionojnë, sido që të jenë shkruar. Ecni përpara ose prapa përgjatë rrugës derisa të arrini një pajisje ku dy prefikset e klientëve mbeten të dallueshëm. Regjistroni burimin në çdo hap në vend që të mbështeteni te një etiketë brenda ose jashtë.

Tre vendosje dhe sa kushton secila

Politika mund të banojë në portën që përkthen, ku burimet origjinale janë ende të dukshme. Mund të banojë në firewall-in më lart nëse tranziti bëhet i rrugëzuar në vend të përkthyer, që do të thotë shtimi i rrugëve të kthimit dhe heqja e rishkrimit të burimit. Ose mund të zbatohet mbi identitetin në vend të adresave, përmes një kontrolli të autentikuar që njeh përdoruesin ose pajisjen. Çdo zgjedhje ka një pronar dhe një mënyrë dështimi, dhe vetëm dy të parat e mbajnë rregullin thjesht për adresat burimore.

Çfarëdo që të zgjidhni, dokumentoni rregullin bashkë me adresën me të cilën përputhet. Një rregull, supozimi i të cilit për adresën ka ndryshuar në heshtje, është më keq se asnjë rregull, sepse vazhdon të përputhet me trafikun ndërsa mbron diçka krejt tjetër.

Pranimi: një klient i lejuar dhe një i refuzuar

Provoni me një çift klientësh, një nga secili grup, dhe regjistroni si arrin secili në pikën e zbatimit. Mbani të dyja çiftet pranë rezultatit të rregullit, që provat të tregojnë se dallimi mbijetoi dhe jo se ekziston një firewall tjetër. Përsëritni provën pas një ndryshimi NAT ose rrugëzimi, sepse adresa e paraqitur është pjesa që prishet në heshtje. Mbani autentikimin kudo ku njerëzit duhet të dallohen, pasi një adresë burimore është hyrje e politikës, jo provë identiteti.

Shkruani pikën e zbatimit, burimin e vëzhguar dhe rregullin në tiketë. Përndryshe inxhinieri tjetër shton një firewall të dytë dhe të njëjtin rregull.