NAT ya chanzo huficha anwani za wateja kutoka kwa firewall ya baadaye

Kanuni iliyoandikwa kwa ajili ya wateja wa wafanyakazi na maabara inawekwa kwenye firewall mpya ya ukingo, na inalingana kimya kimya na kila kitu au hakuna kitu. Sababu iko juu: lango tayari limeandika upya anwani za wateja, kwa hiyo kanuni inaona anwani moja ya usafiri badala ya makundi mawili. Kuongeza kifaa hakutarejesha taarifa ambayo njia iliondoa. Tafuta hatua ya mwisho ambapo tofauti bado ipo kabla ya kuandika sera.

Kwa nini kanuni ya ukingo inaona anwani moja

Utafsiri wa wengi-hadi-mmoja unahusisha kila jozi ya anwani na bandari ya ndani na anwani moja ya nje inayoshirikiwa yenye bandari iliyotengwa. Mazungumzo yanabaki yakijulikana kwa mtafsiri kupitia viungo hivyo vya bandari, lakini kifaa cha chini kinachofanya ulinganisho rahisi wa kiambishi cha chanzo kinaona anwani iliyoshirikiwa pekee. Hiyo inatosha kufanya makundi mawili yalingane kwenye kanuni. Pakiti bado zinafika; upangaji wa vikundi haufiki.

Angalia kile kiolesura cha firewall kinaangalia kwa kweli, sio kile mchoro unaahidi. Vyote viwili hutofautiana mara nyingi zaidi kuliko mtu yeyote anavyotarajia.

Tafuta utambulisho wa mwisho unaoweza kutekelezwa

Anza kwenye hatua ya utekelezaji na urudi nyuma hadi kiambishi cha awali kitaonekana. Amri mbili kwa kawaida hupata mpaka.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Jedwali la NAT linaonyesha trafiki gani inatafsiriwa na kwa kanuni gani, wakati orodha ya conntrack inaonyesha jozi za awali na zilizotafsiriwa kwa mtiririko hai. Pale firewall ya juu inapoona anwani iliyotafsiriwa pekee, kanuni za chanzo kwa kila kundi haziwezi kufanya kazi, zimeandikwa vipi. Tembea mbele au nyuma kwenye njia hadi ufike kwenye kifaa ambacho viambishi viwili vya mteja vinabaki tofauti. Rekodi chanzo kwenye kila hatua badala ya kuamini lebo ya ndani au nje.

Maeneo matatu na gharama ya kila moja

Sera inaweza kuishi kwenye lango linalotafsiri, ambapo vyanzo vya awali bado vinaonekana. Inaweza kuishi kwenye firewall ya juu ikiwa usafiri unakuwa wa njia badala ya kutafsiriwa, maana yake ni kuongeza njia za kurudi na kuondoa uandikaji upya wa chanzo. Au inaweza kutekelezwa kwa utambulisho badala ya anwani, kupitia udhibiti uliothibitishwa unaomjua mtumiaji au kifaa. Kila chaguo lina mmiliki na hali ya kushindwa, na mbili za kwanza pekee ndizo zinazoweka kanuni kuwa kuhusu anwani za chanzo pekee.

Chochote unachochagua, andika sera pamoja na anwani inayolingana nayo. Kanuni ambayo dhana yake ya anwani imebadilika kimya ni mbaya kuliko kutokuwa na kanuni, kwa sababu inaendelea kulingana na trafiki huku ikilinda kitu kingine kabisa.

Kukubaliwa: mteja mmoja aliyeruhusiwa na mmoja aliyekataliwa

Jaribu na jozi ya wateja, mmoja kutoka kila kundi, na rekodi jinsi kila mmoja anafika kwenye hatua ya utekelezaji. Weka jozi zote mbili kando ya matokeo ya kanuni, ili ushahidi uonyeshe kwamba tofauti ilibaki badala ya kuwa kuna firewall nyingine. Rudia jaribio baada ya mabadiliko ya NAT au uelekezaji, kwa sababu anwani inayowasilishwa ndiyo sehemu inayovunjika kimya. Weka uthibitishaji mahali popote ambapo watu wanapaswa kutofautishwa, kwa kuwa anwani ya chanzo ni pembejeo ya sera, si uthibitisho wa utambulisho.

Andika hatua ya utekelezaji, chanzo kilichoonekana na kanuni kwenye tiketi. Vinginevyo mhandisi anayefuata ataongeza firewall ya pili na kanuni hiyo hiyo.