Manba NAT mijoz manzillarini keyingi tarmoq himoyasidan yashiradi

Xodimlar va laboratoriya mijozlari uchun yozilgan qoida yangi chekka tarmoq himoyasiga qo'yiladi va u jimgina hamma narsaga yoki hech narsaga mos kelmaydi. Sabab yuqorida: shlyuz mijoz manzillarini allaqachon qayta yozgan, shuning uchun qoida ikki guruh o'rniga bitta tranzit manzilni ko'radi. Qurilma qo'shish yo'l olib tashlagan ma'lumotni tiklamaydi. Siyosatni yozishdan oldin farq hali mavjud bo'lgan oxirgi nuqtani toping.

Nega chekka qoida bitta manzilni ko'radi

Ko'pdan-birga tarjima har bir ichki manzil va port juftini belgilangan portga ega umumiy tashqi manzilga moslashtiradi. Suhbatlar tarjimon uchun o'sha port bog'lanishlari orqali ajralib turadi, lekin pastdagi oddiy manba prefiksini solishtiradigan qurilma faqat umumiy manzilni ko'radi. Bu qoidada ikki guruhni bir xil qilish uchun yetarli. Paketlar hali ham keladi; guruhlash kelmaydi.

Diagramma va'da qilganini emas, tarmoq himoyasi interfeysi aslida nimani kuzatishini tekshiring. Ikkisi ko'pchilik kutganidan tez-tez farq qiladi.

Oxirgi qo'llaniladigan identifikatsiyani toping

Qo'llash nuqtasidan boshlang va asl prefiks paydo bo'lguncha orqaga yuring. Chegarani odatda ikkita buyruq topadi.

iptables -t nat -L POSTROUTING -n -v
conntrack -L -s 10.90.0.2 | head

NAT jadvali qaysi trafik va qaysi qoida bilan tarjima qilinishini ko'rsatadi, conntrack ro'yxati esa faol oqimlarning asl va tarjima qilingan juftlarini ko'rsatadi. Yuqoridagi tarmoq himoyasi faqat tarjima qilingan manzilni ko'radigan joyda, guruh bo'yicha manba qoidalari qanday yozilganidan qat'i nazar ishlay olmaydi. Yo'l bo'ylab oldinga yoki orqaga yuring, ikki mijoz prefiksi ajralib turadigan qurilmaga yetguncha. Ichki yoki tashqi yorliqqa ishonish o'rniga har bir qadamda manbani qayd eting.

Uch joylashuv va har birining narxi

Siyosat tarjima qiluvchi shlyuzda yashashi mumkin, u yerda asl manbalar hali ko'rinadi. Agar tranzit tarjima o'rniga marshrutlansa, u yuqoridagi tarmoq himoyasida ham yashashi mumkin, bu qaytish marshrutlarini qo'shish va manba qayta yozishni olib tashlashni anglatadi. Yoki uni manzillar o'rniga identifikatsiyaga qo'llash mumkin, foydalanuvchi yoki qurilmani biladigan autentifikatsiyalangan nazorat orqali. Har bir tanlovning egasi va nosozlik rejimi bor va faqat birinchi ikkitasi qoidani faqat manba manzillari haqida saqlaydi.

Nimani tanlamang, qoidani u mos keladigan manzil bilan birga hujjatlashtiring. Manzil haqidagi taxmini jimgina o'zgargan qoida umuman qoida yo'qligidan yomonroq, chunki u trafikka mos kelishda davom etib, butunlay boshqa narsani himoya qiladi.

Qabul: bitta ruxsat etilgan va bitta rad etilgan mijoz

Har bir guruhdan bittadan ikki mijoz bilan sinab ko'ring va har biri qo'llash nuqtasiga qanday yetishini qayd eting. Ikkala juftni ham qoida natijasi yonida saqlang, dalil farq saqlanib qolganini ko'rsatsin, boshqa tarmoq himoyasi borligini emas. NAT yoki marshrutlash o'zgarganidan keyin sinovni takrorlang, chunki taqdim etilgan manzil jimgina buziladigan qismdir. Odamlarni ajratish kerak bo'lgan joyda autentifikatsiyani saqlang, chunki manba manzili siyosat kiritmasi, identifikatsiya dalili emas.

Qo'llash nuqtasini, kuzatilgan manbani va qoidani chiptaga yozing. Aks holda keyingi muhandis ikkinchi tarmoq himoyasi va o'sha qoidani qo'shadi.