Вихідний NAT приховує адреси клієнтів від пізнішого міжмережевого екрана

Правило, написане для клієнтів персоналу й лабораторії, потрапляє на новий пограничний міжмережевий екран і мовчки збігається з усім або ні з чим. Причина вище: шлюз уже переписав адреси клієнтів, тому правило бачить одну транзитну адресу замість двох груп. Додавання пристрою не відновлює інформацію, яку видалив шлях. Знайдіть останню точку, де відмінність ще існує, перш ніж писати політику.

Чому пограничне правило бачить одну адресу

Перетворення «багато в один» зіставляє кожну внутрішню пару адреси й порту зі спільною зовнішньою адресою з призначеним портом. Розмови залишаються розрізнюваними для перетворювача завдяки цим прив'язкам портів, але пристрій нижче за шляхом, що виконує просте зіставлення префікса джерела, бачить лише спільну адресу. Цього достатньо, щоб дві групи стали однаковими на рівні правила. Пакети все ще надходять; групування — ні.

Перевірте, що інтерфейс міжмережевого екрана справді спостерігає, а не те, що обіцяє схема. Ці двоє розходяться частіше, ніж хтось очікує.

Знайдіть останню застосовну ідентичність

Почніть у точці застосування і йдіть назад, доки не з'явиться початковий префікс. Зазвичай межу знаходять дві команди.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

Таблиця NAT показує, який трафік і яким правилом перетворюється, а список conntrack показує початкові та перетворені пари для активних потоків. Там, де верхній міжмережевий екран бачить лише перетворену адресу, правила джерела за групами не можуть працювати, як би їх не було написано. Ідіть шляхом уперед або назад, доки не дійдете до пристрою, на якому два префікси клієнтів залишаються різними. Записуйте джерело на кожному кроці замість того, щоб довіряти позначці «всередині» чи «зовні».

Три розміщення і їхня ціна

Політика може жити на перетворювальному шлюзі, де початкові джерела ще видно. Вона може жити на верхньому міжмережевому екрані, якщо транзит стає маршрутизованим, а не перетвореним, що означає додавання зворотних маршрутів і видалення переписування джерела. Або її можна застосовувати до ідентичності, а не до адрес, через автентифіковане керування, яке знає користувача або пристрій. Кожен вибір має власника й режим відмови, і лише перші два залишають правило суто про адреси джерела.

Що б ви не обрали, документуйте правило разом з адресою, якій воно відповідає. Правило, припущення про адресу якого мовчки змінилося, гірше за відсутність правила, бо воно далі збігається з трафіком, захищаючи щось зовсім інше.

Приймання: один дозволений і один відхилений клієнт

Перевірте на парі клієнтів, по одному з кожної групи, і зафіксуйте, як кожен потрапляє в точку застосування. Збережіть обидві пари поруч із результатом правила, щоб доказ показував, що відмінність збереглася, а не що існує інший міжмережевий екран. Повторіть тест після зміни NAT або маршрутизації, бо представлена адреса — це та частина, яка тихо ламається. Зберігайте автентифікацію там, де людей треба розрізняти, оскільки адреса джерела — це вхід політики, а не доказ ідентичності.

Запишіть точку застосування, спостережене джерело і правило в заявку. Інакше наступний інженер додасть другий міжмережевий екран і те саме правило.