NAT ต้นทางซ่อนที่อยู่ของไคลเอนต์จากไฟร์วอลล์ที่อยู่ถัดไป

กฎที่เขียนไว้สำหรับไคลเอนต์ของพนักงานและห้องแล็บถูกนำไปวางบนไฟร์วอลล์ขอบใหม่ และมันจับกับทุกสิ่งหรือไม่จับกับอะไรเลยอย่างเงียบ ๆ เหตุผลอยู่เหนือขึ้นไป: เกตเวย์ได้เขียนที่อยู่ของไคลเอนต์ใหม่แล้ว กฎจึงเห็นที่อยู่ส่งผ่านเพียงหนึ่งเดียวแทนที่จะเป็นสองกลุ่ม แพ็กเก็ตยังคงมาถึง แต่การจัดกลุ่มไม่มาถึง การเพิ่มอุปกรณ์ไม่คืนข้อมูลที่เส้นทางได้ลบไป ค้นหาจุดสุดท้ายที่ความแตกต่างยังคงอยู่ก่อนเขียนนโยบาย

ทำไมกฎขอบจึงเห็นที่อยู่เดียว

การแปลแบบหลายต่อหนึ่งจับคู่ที่อยู่และพอร์ตภายในแต่ละคู่เข้ากับที่อยู่ภายนอกที่ใช้ร่วมกันซึ่งมีพอร์ตที่กำหนดไว้ บทสนทนายังแยกแยะได้สำหรับตัวแปลผ่านการผูกพอร์ตเหล่านั้น แต่อุปกรณ์ปลายทางที่ทำการจับคู่คำนำหน้าต้นทางอย่างง่ายเห็นเพียงที่อยู่ร่วมกันเท่านั้น นั่นก็เพียงพอที่จะทำให้สองกลุ่มเหมือนกันที่กฎ แพ็กเก็ตยังคงมาถึง แต่การจัดกลุ่มไม่มา

ตรวจสอบสิ่งที่อินเทอร์เฟซของไฟร์วอลล์สังเกตจริง ไม่ใช่สิ่งที่แผนภาพสัญญาไว้ สองสิ่งนั้นแตกต่างกันบ่อยกว่าที่ใครจะคาดคิด

ค้นหาอัตลักษณ์สุดท้ายที่บังคับใช้ได้

เริ่มที่จุดบังคับใช้และเดินย้อนกลับจนกระทั่งคำนำหน้าต้นฉบับปรากฏ โดยปกติคำสั่งสองคำจะหาขอบเขตได้

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

ตาราง NAT แสดงว่าทราฟฟิกใดถูกแปลและโดยกฎใด ขณะที่รายการ conntrack แสดงคู่ต้นฉบับและคู่ที่แปลแล้วสำหรับโฟลว์ที่ใช้งานอยู่ ในที่ที่ไฟร์วอลล์เหนือขึ้นไปเห็นเพียงที่อยู่ที่แปลแล้ว กฎต้นทางตามกลุ่มไม่สามารถทำงานได้ ไม่ว่าจะเขียนอย่างไร เดินไปข้างหน้าหรือย้อนกลับตามเส้นทางจนถึงอุปกรณ์ที่คำนำหน้าของไคลเอนต์ทั้งสองยังแตกต่างกัน บันทึกต้นทางในแต่ละฮอปแทนการเชื่อถือป้ายภายในหรือภายนอก

สามตำแหน่งและค่าใช้จ่ายของแต่ละแบบ

นโยบายสามารถอยู่บนเกตเวย์ที่แปล ที่ซึ่งต้นทางดั้งเดิมยังมองเห็นได้ หรืออยู่บนไฟร์วอลล์เหนือขึ้นไปหากการส่งผ่านกลายเป็นการกำหนดเส้นทางแทนการแปล ซึ่งหมายถึงการเพิ่มเส้นทางย้อนกลับและลบการเขียนต้นทางใหม่ หรือบังคับใช้กับอัตลักษณ์แทนที่อยู่ ผ่านการควบคุมที่ผ่านการรับรองซึ่งรู้จักผู้ใช้หรืออุปกรณ์ แต่ละทางเลือกมีเจ้าของและโหมดล้มเหลว และมีเพียงสองแบบแรกที่ทำให้กฎเกี่ยวกับที่อยู่ต้นทางอย่างแท้จริง

ไม่ว่าคุณจะเลือกแบบใด จัดทำเอกสารกฎพร้อมกับที่อยู่ที่มันจับคู่ กฎที่สมมติฐานเรื่องที่อยู่เปลี่ยนไปอย่างเงียบ ๆ แย่กว่าไม่มีกฎเลย เพราะมันยังคงจับกับทราฟฟิกในขณะที่ปกป้องสิ่งอื่นโดยสิ้นเชิง

การยอมรับ: ไคลเอนต์หนึ่งรายที่ได้รับอนุญาตและหนึ่งรายที่ถูกปฏิเสธ

ทดสอบกับไคลเอนต์สองราย หนึ่งรายจากแต่ละกลุ่ม และบันทึกว่าแต่ละรายมาถึงจุดบังคับใช้อย่างไร เก็บคู่ทั้งสองไว้ข้างผลลัพธ์ของกฎ เพื่อให้หลักฐานแสดงว่าความแตกต่างยังคงอยู่ ไม่ใช่มีไฟร์วอลล์อีกตัวหนึ่ง ทดสอบซ้ำหลังการเปลี่ยนแปลง NAT หรือการกำหนดเส้นทาง เพราะที่อยู่ที่นำเสนอคือส่วนที่พังอย่างเงียบ ๆ รักษาการรับรองไว้ทุกที่ที่ต้องแยกแยะผู้คน เนื่องจาก ที่อยู่ต้นทางเป็นข้อมูลป้อนเข้าของนโยบาย ไม่ใช่หลักฐานของอัตลักษณ์

เขียนจุดบังคับใช้ ต้นทางที่สังเกต และกฎลงในตั๋ว มิฉะนั้นวิศวกรคนต่อไปจะเพิ่มไฟร์วอลล์ตัวที่สองและกฎเดียวกัน