Başka bir NAT eklemeden önce özel LAN'lar arasında yönlendirme yapın

İki iç güvenlik duvarı, bir özel geçiş segmenti ve her LAN'daki birkaç uçbirimin diğerindekilerle konuşmasına izin verilmesi talebi. Refleks, bir VPN kurmak veya ikinci bir NAT katmanı eklemektir ve her iki refleks de sorunun hak ettiğinden fazlaya mal olur. Sıradan yönlendirme üç koşul sağlandığında yeterlidir: adres aralıkları çakışmaz, iki taraf da trafiği diğer LAN'a geri gönderebilir ve geçiş segmenti veri için zaten yeterince güvenilirdir. Bir şey tasarlamadan önce bu üçünü kontrol edin, çünkü her biri yanıtı değiştirir.

Tasarımı belirleyen üç koşul

İlk koşul adres alanıdır. İki LAN de aynı RFC 1918 bloğunu kullanıyorsa, yönlendirme onları ayırt edemez ve çeviri isteğe bağlı değil kaçınılmaz olur. İkincisi dönüş yoludur: A'dan B'ye bir rota, B de A'nın LAN'ına nasıl ulaşacağını bilmiyorsa işe yaramaz ve asimetrik bilgi, yönlendirilmiş bir tasarımın yanıtları sessizce düşürmesinin en yaygın nedenidir.

Üçüncüsü güvendir. Yönlendirme paketleri taşır; onları korumaz. Tek bir bina içindeki özel bir geçiş segmenti, bir sağlayıcıya devretmekten veya paylaşılan bir kampüs omurgasını geçen bağlantıdan farklı bir şeydir. Segment güvenilir değilse yanıt, iki güvenlik duvarı arasında bir tüneldir ve aşağıdaki yönlendirme planı onun içinde de geçerlidir.

Basit tasarım ancak üçü de aynı yönü gösterdiğinde kazanır. Biri başarısız olduğunda, o koşulu çeviriyle örtmek yerine açıkça düzeltin, çünkü NAT hatayı çözmek yerine gizler.

Rota planını geçiş ağı üzerinde kurun

Her güvenlik duvarına paylaşılan segmentte bir adres verin ve her uzak LAN için belirli bir rota ekleyin. Mevcut yapılandırmada başka hiçbir şeyin hareket etmesi gerekmez, özellikle internet varsayılan rotası tam olarak bulunduğu yerde kalmalıdır. Varsayılan bir rotayı eş güvenlik duvarıyla değiştirmek, ilgisiz her hedefi geçiş üzerinden gönderirdi ki bu, istenenden çok daha büyük bir değişikliktir. pfSense'in statik yönlendirme belgeleri o platform için aynı rota-artı-ağ geçidi modelini açıklar ve eşdeğer denetim gerçekten çalıştırdığınız her güvenlik duvarında vardır.

Güvenlik duvarı A 10.30.0.0/24 ağını, güvenlik duvarı B ise 10.40.0.0/24 ağını sunar ve iki geçiş adresi 192.0.2.0/24 içindedir. Her LAN uçbirimi yerel güvenlik duvarını ağ geçidi olarak tutar, dolayısıyla tek yeni durum her iki tarafta birer rotadır. Linux tabanlı bir güvenlik duvarında aynı plan böyle görünür ve yönlendirme etkin olmalıdır, aksi halde rota çözülürken paket düşürülür.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

Filtrelemeyi çeviriden ayrı tutun

Yönlendirme ve politika farklı denetimlerdir ve çoğu yönlendirilmiş tasarım asıl ikincisinde başarısız olur. Paketlerin gerçekten geçtiği giriş sınırında belirli kaynaklara, hedeflere ve hizmetlere izin verin ve WAN gibi bir arayüz etiketinin bir ad olduğunu, güven hakkında bir beyan olmadığını unutmayın. Özel trafik taşıyan bir geçiş bağlantı noktasında özel adres engelleme hâlâ varsayılan olarak açık olabilir.

Sonra NAT olmadığı sonucuna varmadan önce giden çeviriye bakın. Otomatik giden kurallar hiç çevrilmek üzere olmayan trafiği yeniden yazabilir ve bu, karşı tarafın kendi politikası ve günlükleri için ihtiyaç duyduğu kaynak adresleri yok eder. Seçilen akışların özgün adreslerini koruduğunu doğrulayın ve hâlâ ihtiyaç duyan trafik için internet çeviri kurallarını olduğu gibi bırakın.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

NAT'ın dürüst yanıt olduğu durum

Çeviri, adres aralıkları gerçekten çakıştığında ve yeniden numaralandırma mümkün olmadığında ya da bir politika bir tarafın alt ağ yerine tek bir adres görmesini gerektirdiğinde yerini hak eder. Bu durumlarda bilinçli bir bire bir veya bağlantı noktasıyla sınırlı eşleme, sonuçları bilinen bir tasarım kararıdır, bir geçici çözüm değildir.

Yüksek sesle söylenmesi gereken sonuç, karşı tarafın artık tek tek kaynakları göremediği veya filtreleyemediğidir. Günlükler çeviren adrese çöker, uçbirim başına politika çalışmayı bırakır ve sorun giderme, belirli bir anda hangi iç uçbirimin bir akışa sahip olduğunu aramaya dönüşür. Söz konusu trafik için bunların hiçbiri önemli değilse NAT uygundur.

Geçişin kendisi yanlış varsayım olduğunda

Paylaşılan segment bir sağlayıcıdan, paylaşılan bir anahtarlama dokusundan veya başka bir tarafın trafiği okuyabileceği herhangi bir yoldan geçiyorsa, yalnızca yönlendirme tam bir yanıt değildir. İki güvenlik duvarı arasındaki tünel size gizlilik ve eş kimlik doğrulaması verir ve içindeki rota tablosu geçişte yazacağınız aynı tablodur.

Buna ilk bölümdeki güven sorusundan karar verin, VPN'lerin daha güvenli olduğu alışkanlığından değil. Zaten özel olan bir segment üzerindeki tünel, kazanç olmadan işletme maliyeti ve bir hata modu daha ekler; güvenilmeyen bir segment üzerinde yönlendirme ise gizliliği karşılayamayacağınız bir sadelikle değiştirir. Üç koşuldan hangisinin seçimi yönlendirdiğini yazın, bir sonraki mühendis bunu yeniden tartışmak zorunda kalmasın.