Kaynak NAT istemci adreslerini sonraki güvenlik duvarından gizler

Personel ve laboratuvar istemcileri için yazılmış bir kural yeni uç güvenlik duvarına konur ve sessizce her şeyle ya da hiçbir şeyle eşleşir. Neden yukarıdadır: bir ağ geçidi istemci adreslerini zaten yeniden yazmıştır, bu yüzden kural iki grup yerine tek bir geçiş adresi görür. Bir cihaz eklemek, yolun kaldırdığı bilgiyi geri getirmez. İlkeyi yazmadan önce farkın hâlâ var olduğu son noktayı bulun.

Uç kuralı neden tek bir adres görür

Çoktan-bire çeviri, her iç adres ve bağlantı noktası çiftini atanmış bir bağlantı noktasıyla paylaşılan dış adrese eşler. Konuşmalar bu bağlantı noktası bağlamaları sayesinde çevirici için ayırt edilebilir kalır, ancak aşağıdaki basit bir kaynak öneki eşleştirmesi yapan cihaz yalnızca paylaşılan adresi görür. Bu, iki grubu kuralda aynı yapmaya yeter. Paketler hâlâ gelir; gruplama gelmez.

Diyagramın vaat ettiğini değil, güvenlik duvarının arayüzünün gerçekte neyi gözlemlediğini kontrol edin. İkisi, kimsenin beklediğinden daha sık farklıdır.

Son uygulanabilir kimliği bulun

Uygulama noktasından başlayın ve orijinal önek görünene kadar geri gidin. Sınırı genellikle iki komut bulur.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT tablosu hangi trafiğin hangi kuralla çevrildiğini gösterirken conntrack listesi etkin akışlar için orijinal ve çevrilmiş çiftleri gösterir. Yukarıdaki güvenlik duvarının yalnızca çevrilmiş adresi gördüğü yerde, grup başına kaynak kuralları nasıl yazılırsa yazılsın çalışamaz. Yol boyunca ileri veya geri gidin, iki istemci önekinin farklı kaldığı bir cihaza ulaşana kadar. İç veya dış etiketine güvenmek yerine her atlamada kaynağı kaydedin.

Üç yerleşim ve her birinin maliyeti

İlke, orijinal kaynakların hâlâ göründüğü çevirici ağ geçidinde yaşayabilir. Geçiş çevrilmek yerine yönlendirilirse yukarıdaki güvenlik duvarında yaşayabilir, bu da dönüş yolları eklemek ve kaynak yeniden yazımını kaldırmak anlamına gelir. Veya adresler yerine kimlik üzerinde uygulanabilir, kullanıcıyı ya da cihazı bilen kimliği doğrulanmış bir kontrol aracılığıyla. Her seçeneğin bir sahibi ve bir arıza modu vardır ve yalnızca ilk ikisi kuralı tamamen kaynak adreslerle ilgili tutar.

Hangisini seçerseniz seçin, kuralı eşleştiği adresle birlikte belgeleyin. Adres varsayımı sessizce değişmiş bir kural, hiç kural olmamasından daha kötüdür, çünkü trafikle eşleşmeye devam ederken tamamen başka bir şeyi korur.

Kabul: biri izinli ve biri reddedilmiş istemci

Her gruptan birer olmak üzere iki istemciyle test edin ve her birinin uygulama noktasına nasıl ulaştığını kaydedin. İki çifti de kural sonucunun yanında tutun, böylece kanıt farkın hayatta kaldığını gösterir, başka bir güvenlik duvarı olduğunu değil. NAT veya yönlendirme değişikliğinden sonra testi yineleyin, çünkü sunulan adres sessizce bozulan kısımdır. İnsanların ayırt edilmesi gereken her yerde kimlik doğrulamayı koruyun, çünkü kaynak adres ilkenin girdisidir, kimliğin kanıtı değildir.

Uygulama noktasını, gözlenen kaynağı ve kuralı bilete yazın. Aksi halde bir sonraki mühendis ikinci bir güvenlik duvarı ve aynı kuralı ekler.