Itinatago ng source NAT ang mga address ng kliyente sa susunod na firewall

Ang isang panuntunang isinulat para sa mga kliyente ng staff at lab ay inilalagay sa bagong edge firewall, at tahimik itong tumutugma sa lahat o wala. Nasa itaas ang dahilan: muling isinulat na ng gateway ang mga address ng kliyente, kaya isang transit address lang ang nakikita ng panuntunan sa halip na dalawang grupo. Ang pagdaragdag ng appliance ay hindi nagbabalik ng impormasyong inalis ng landas. Hanapin ang huling punto kung saan umiiral pa ang pagkakaiba bago isulat ang patakaran.

Bakit isang address lang ang nakikita ng edge rule

Ang many-to-one translation ay nagmamapa ng bawat panloob na pares ng address at port sa isang shared external address na may nakatalagang port. Nananatiling nakikilala ng tagasalin ang mga usapan sa pamamagitan ng mga port binding na iyon, ngunit ang device sa ibaba na gumagawa ng simpleng pagtutugma ng source prefix ay nakikita lamang ang shared address. Sapat na iyon upang maging magkapareho ang dalawang grupo sa panuntunan. Dumarating pa rin ang mga packet; ang pagpapangkat ay hindi.

Suriin kung ano ang aktwal na pinagmamasdan ng interface ng firewall, hindi kung ano ang ipinapangako ng diagram. Mas madalas magkaiba ang dalawa kaysa inaasahan ng sinuman.

Hanapin ang huling maipapatupad na pagkakakilanlan

Magsimula sa punto ng pagpapatupad at maglakad pabalik hanggang lumitaw ang orihinal na prefix. Karaniwang nahahanap ng dalawang utos ang hangganan.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Ipinapakita ng NAT table kung aling trapiko ang isinasalin at sa anong panuntunan, habang ang conntrack listing ay nagpapakita ng orihinal at isinalin na mga pares para sa mga aktibong daloy. Kung saan ang firewall sa itaas ay laging nakikita lamang ang isinalin na address, hindi maaaring gumana doon ang mga panuntunan ng source bawat grupo, gaano man ito isinulat. Maglakad pasulong o paatras sa landas hanggang makarating sa isang device kung saan nananatiling magkaiba ang dalawang prefix ng kliyente. Itala ang source sa bawat hop sa halip na magtiwala sa panloob o panlabas na label.

Tatlong lokasyon at ang halaga ng bawat isa

Maaaring manirahan ang patakaran sa gateway na nagsasalin, kung saan nakikita pa rin ang orihinal na source. Maaari itong manirahan sa firewall sa itaas kung ang transit ay naging rutado sa halip na isinalin, na nangangahulugang pagdaragdag ng return routes at pag-alis ng source rewrite. O maaari itong ipatupad sa pagkakakilanlan sa halip na sa mga address, sa pamamagitan ng authenticated na kontrol na nakakakilala sa user o device. Bawat pagpipilian ay may may-ari at paraan ng pagkasira, at tanging ang unang dalawa ang nagpapanatili ng panuntunan na puro tungkol sa source address.

Anuman ang piliin mo, idokumento ang panuntunan kasama ang address na tinutugma nito. Ang panuntunang tahimik na nagbago ang palagay tungkol sa address ay mas masama kaysa walang panuntunan, dahil patuloy itong tumutugma sa trapiko habang nagpoprotekta ng lubos na ibang bagay.

Pagtanggap: isang pinapayagang at isang tinanggihang kliyente

Subukan gamit ang isang pares ng kliyente, isa mula sa bawat grupo, at itala kung paano nakakarating ang bawat isa sa punto ng pagpapatupad. Itago ang parehong pares sa tabi ng resulta ng panuntunan, upang ipakita ng ebidensya na nanatili ang pagkakaiba at hindi na may ibang firewall. Ulitin ang pagsubok pagkatapos ng pagbabago sa NAT o routing, dahil ang inihaharap na address ang bahaging tahimik na nasisira. Panatilihin ang authentication saanman kailangang makilala ang mga tao, dahil ang source address ay input ng patakaran, hindi patunay ng pagkakakilanlan.

Isulat ang punto ng pagpapatupad, ang naobserbahang source at ang panuntunan sa ticket. Kung hindi, magdadagdag ang susunod na inhinyero ng pangalawang firewall at parehong panuntunan.