ماخذ NAT گاہکوں کے پتے بعد والے فائر وال سے چھپاتا ہے

عملے اور لیب کے گاہکوں کے لیے لکھا گیا قاعدہ نئے کنارے والے فائر وال پر جاتا ہے، اور وہ خاموشی سے ہر چیز سے یا کسی چیز سے نہیں ملتا۔ وجہ اوپر ہے: ایک گیٹ وے پہلے ہی گاہکوں کے پتے دوبارہ لکھ چکا ہے، اس لیے قاعدہ دو گروہوں کے بجائے ایک گزری ہوئی پتہ دیکھتا ہے۔ آلہ شامل کرنے سے وہ معلومات واپس نہیں آتی جو راستے نے ہٹا دی تھی۔ پالیسی لکھنے سے پہلے وہ آخری نقطہ تلاش کریں جہاں فرق ابھی موجود ہے۔

کنارے کا قاعدہ ایک ہی پتہ کیوں دیکھتا ہے

بہت سے سے ایک میں ترجمہ ہر اندرونی پتے اور پورٹ کے جوڑے کو مختص پورٹ کے ساتھ مشترکہ بیرونی پتے پر نقش کرتا ہے۔ ان پورٹ بندھنوں کے ذریعے گفتگو مترجم کے لیے الگ رہتی ہے، لیکن نیچے کا آلہ جو سادہ ماخذ سابقہ ملان کرتا ہے صرف مشترکہ پتہ دیکھتا ہے۔ یہی دو گروہوں کو قاعدے پر یکساں بنانے کے لیے کافی ہے۔ پیکٹ اب بھی آتے ہیں؛ گروہ بندی نہیں آتی۔

یہ دیکھیں کہ فائر وال کا انٹرفیس واقعی کیا مشاہدہ کرتا ہے، نہ کہ خاکہ کیا وعدہ کرتا ہے۔ دونوں کسی کی توقع سے زیادہ بار مختلف ہوتے ہیں۔

آخری قابل نفاذ شناخت تلاش کریں

نفاذ کے نقطے سے شروع کریں اور اصل سابقہ ظاہر ہونے تک پیچھے جائیں۔ عام طور پر دو حکم حد تلاش کرتے ہیں۔

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT جدول دکھاتا ہے کہ کون سی ٹریفک اور کس قاعدے سے ترجمہ ہوتی ہے، جبکہ conntrack فہرست فعال بہاؤ کے اصل اور ترجمہ شدہ جوڑے دکھاتی ہے۔ جہاں اوپر والا فائر وال صرف ترجمہ شدہ پتہ دیکھتا ہے، وہاں گروہ کے مطابق ماخذ قواعد کیسے بھی لکھے جائیں کام نہیں کر سکتے۔ راستے پر آگے یا پیچھے چلیں جب تک ایسے آلے تک نہ پہنچیں جہاں دونوں گاہک سابقے الگ رہتے ہیں۔ اندر یا باہر کے لیبل پر بھروسہ کرنے کے بجائے ہر قدم پر ماخذ درج کریں۔

تین مقامات اور ہر ایک کی قیمت

پالیسی ترجمہ کرنے والے گیٹ وے پر رہ سکتی ہے، جہاں اصل ماخذ اب بھی نظر آتے ہیں۔ یہ اوپر والے فائر وال پر بھی رہ سکتی ہے اگر گزرگاہ ترجمے کے بجائے راستہ بند ہو جائے، جس کا مطلب واپسی راستے شامل کرنا اور ماخذ کی دوبارہ تحریر ہٹانا ہے۔ یا اسے پتوں کے بجائے شناخت پر نافذ کیا جا سکتا ہے، ایسے تصدیق شدہ کنٹرول کے ذریعے جو صارف یا آلے کو جانتا ہے۔ ہر انتخاب کا ایک مالک اور ناکامی کا طریقہ ہے، اور صرف پہلے دو قاعدے کو خالصتاً ماخذ پتوں کے بارے میں رکھتے ہیں۔

آپ جو بھی چنیں، قاعدہ اس پتے کے ساتھ دستاویز کریں جس سے وہ ملتا ہے۔ جس قاعدے کا پتے کے بارے میں مفروضہ خاموشی سے بدل گیا ہو وہ قاعدہ نہ ہونے سے بھی بدتر ہے، کیونکہ وہ ٹریفک سے ملتا رہتا ہے جبکہ بالکل کچھ اور بچاتا ہے۔

قبولیت: ایک اجازت یافتہ اور ایک مسترد گاہک

ہر گروہ سے ایک، دو گاہکوں کے ساتھ تجربہ کریں اور درج کریں کہ ہر ایک نفاذ کے نقطے تک کیسے پہنچتا ہے۔ دونوں جوڑے قاعدے کے نتیجے کے پاس رکھیں، تاکہ ثبوت دکھائے کہ فرق برقرار رہا، نہ یہ کہ کوئی دوسرا فائر وال موجود ہے۔ NAT یا راستہ بندی کی تبدیلی کے بعد تجربہ دہرائیں، کیونکہ پیش کیا گیا پتہ ہی وہ حصہ ہے جو خاموشی سے ٹوٹتا ہے۔ جہاں لوگوں کو الگ کرنا ضروری ہو وہاں تصدیق برقرار رکھیں، کیونکہ ماخذ پتہ پالیسی کا ان پٹ ہے، شناخت کا ثبوت نہیں۔

نفاذ کا نقطہ، مشاہدہ شدہ ماخذ اور قاعدہ ٹکٹ میں لکھیں۔ ورنہ اگلا انجینئر دوسرا فائر وال اور وہی قاعدہ شامل کر دے گا۔