Изворни NAT скрива адресе клијената од каснијег заштитног зида

Правило написано за клијенте особља и лабораторије поставља се на нови ивични заштитни зид и тихо се поклапа са свим или ничим. Разлог је изнад: пролаз је већ преписао адресе клијената, па правило види једну транзитну адресу уместо две групе. Додавање уређаја не враћа информацију коју је пут уклонио. Пронађите последњу тачку у којој разлика још постоји пре него што напишете политику.

Зашто ивично правило види једну адресу

Превођење више-у-једно пресликава сваки унутрашњи пар адресе и порта на заједничку спољашњу адресу са додељеним портом. Разговори остају разлучиви преводиоцу захваљујући тим везама портова, али уређај ниже који ради једноставно подударање префикса извора види само заједничку адресу. То је довољно да две групе буду идентичне код правила. Пакети и даље стижу; груписање не.

Проверите шта интерфејс заштитног зида заиста посматра, а не шта дијаграм обећава. То двоје се разликује чешће него што ико очекује.

Пронађите последњи применљиви идентитет

Почните од тачке примене и идите уназад док се не појави изворни префикс. Границу обично проналазе две наредбе.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT табела показује који се саобраћај преводи и којим правилом, док conntrack листа показује изворне и преведене парове за активне токове. Тамо где горњи заштитни зид увек види само преведену адресу, изворна правила по групи не могу да раде, како год да су написана. Идите напред или назад дуж пута док не дођете до уређаја на ком два клијентска префикса остају различита. Забележите извор на сваком кораку уместо да верујете ознаци изнутра или споља.

Три смештаја и шта сваки кошта

Политика може да живи на пролазу који преводи, где су изворни извори још видљиви. Може да живи на горњем заштитном зиду ако транзит постане усмерен уместо преведен, што значи додавање повратних рута и уклањање преписивања извора. Или може да се примењује на идентитет уместо на адресе, кроз аутентификовану контролу која познаје корисника или уређај. Сваки избор има власника и начин отказа, и само прва два држе правило чисто о изворним адресама.

Шта год да изаберете, документујте правило заједно са адресом са којом се поклапа. Правило чија се претпоставка о адреси тихо променила горе је од никаквог правила, јер наставља да се поклапа са саобраћајем док штити нешто сасвим друго.

Прихватање: један дозвољен и један одбијен клијент

Тестирајте са паром клијената, по једним из сваке групе, и забележите како сваки стиже до тачке примене. Сачувајте оба пара уз резултат правила, како би доказ показао да је разлика преживела, а не да постоји још један заштитни зид. Поновите тест после промене NAT-а или усмеравања, јер је представљена адреса део који се тихо квари. Држите аутентификацију тамо где људе треба разликовати, јер изворна адреса је улаз у политику, а не доказ идентитета.

Упишите тачку примене, посматрани извор и правило у тикет. Иначе следећи инжењер додаје други заштитни зид и исто правило.