เดิมเครื่องใน Trust zone (TZ) สามารถเชื่อมต่อไปยัง service ภายนอกได้ผ่าน private link แต่อนาคต private link จะถูกยกเลิก เลยทำให้เครื่องใน TZ จะต้องเชื่อมต่อไปยัง service ภายนอกผ่าน internet แทน ทีนี้ติดปัญหาว่า firewall ไม่สามารถสร้าง policy เชื่อมต่อไปยัง service ภายนอกผ่าน domain ได้ ต้องสร้างแบบ IP เท่านั้น และ service ดังกล่าวไม่มี IP ที่ตายตัว เลยอยากขอคำแนะนำว่าจะทำอะไรได้บ้างครับ

เบื้องต้นที่คิดไว้คือใช้เครื่องใน DMZ ที่เชื่อมต่อ internet ได้ ออกไปเชื่อมต่อกับ service ดังกล่าวแทนเครื่องใน TZ แต่ยังคิดไม่ออกในเชิงรายละเอียดว่าจะทำยังไงดีครับ

UPDATE: เนื่องจากว่าทาง service แจ้งว่ามี static IP อยู่ เลยทำให้ไม่ต้องทำอะไรยุ่งยากมาก โดยผมทำแบบนี้ครับ

1. แก้ /etc/default/ufw ให้อนุญาตการส่งต่อ
   default_forward_policy = "accept"
2. แก้ /etc/ufw/sysctl.conf ให้อนุญาตการส่งต่อ
   net.ipv4.ip_forward=1
3. สร้างกฎให้การเชื่อมต่อมาที่เครื่องใน DMZ จะถูกส่งไป IP ของ service
   iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -m conntrack --ctstate NEW -j DNAT --to foo_serverip:80
   iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -m conntrack --ctstate NEW -j DNAT --to foo_serverip:443
   iptables -t nat -A PREROUTING -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
   iptables -A POSTROUTING -t nat -j MASQUERADE
4. reload ufw
   ufw reload

ref