Здравейте! Добре дошли на петия урок от курса . На разгледахме работата на политиките за сигурност. Сега е време да пуснем локалните потребители в интернет. В този урок ще разгледаме работата на механизма NAT.
Освен пускането на потребителите в интернет, ще разгледаме и метода за публикуване на вътрешни услуги. Под катото е представена кратка теория от видеото, както и самото видеоурок.
Технологията NAT (Network Address Translation) представлява механизъм за преобразуване на IP адресите на мрежовите пакети. Според Fortinet NAT се дели на два типа: Source NAT и Destination NAT.
Имената говорят сами за себе си — при използването на Source NAT се променя адреса на източника, а при използването на Destination NAT — адреса на получателя.
Освен това, има и няколко варианта на настройките за NAT — Firewall Policy NAT и Central NAT.
При използването на първия вариант Source и Destination NAT трябва да бъдат настроени за всяка политика за сигурност. В такъв случай Source NAT използва или IP адреса на изходящия интерфейс, или преднастроен IP Pool. Destination NAT използва предварително настроен обект (т.н. VIP — Virtual IP) като адрес на получателя.
При използване на Central NAT конфигурацията на Source и Destination NAT се извършва веднага за цялото устройство (или виртуален домейн). В такъв случай параметрите на NAT се прилагат към всички политики, в зависимост от правилата на Source NAT и Destination NAT.
Правилата на Source NAT се настройват в централната политика Source NAT. Destination NAT се конфигурира от менюто DNAT с използване на IP адреси.
В този урок ще разгледаме само Firewall Policy NAT — както показва практиката, този вариант на конфигурация се среща много по-често от Central NAT.
Както вече споменах, при конфигурация на Firewall Policy Source NAT има два варианта на настройка: замяна на IP адреса с адреса на изходящия интерфейс или с IP адрес от преднастроен пул IP адреси. Изглежда по принцип така, както е показано на изображението по-долу. После ще ви разкажа кратко за възможните пулове, но на практика ще разгледаме само варианта с адреса на изходящия интерфейс — на нашия макет пуловете на IP адреси не ни трябват.
IP пул определя един или повече IP адреси, които ще се използват като адрес на източника по време на сесията. Тези IP адреси ще се използват вместо IP адреса на изходящия интерфейс на FortiGate.
Има 4 типа IP пулове, които могат да бъдат настроени на FortiGate:
- Претоварване
- Едно-на-едно
- Фиксиран диапазон на портове
- Разпределение на блокове портове
Претоварването е основният IP пул. В него IP адресите се преобразуват по схемата много към едно или много към много. Освен това се използва транслация на портове. Нека разгледаме схемата, показана на долната фигура. Имаме пакет с определени полета Source и Destination. Когато попадне под политиката на защитната стена, която позволява на този пакет да получи достъп до външната мрежа, към него се прилага правило на NAT. В резултат на това в този пакет полето Source се заменя с един от IP адресите, посочени в IP пула.
В пула тип Едно-на-едно също така е определен набор от външни IP адреси. Когато пакетът попадне под политиката на защитната стена с включено правило на NAT, IP адресът в полето Source се променя на един от адресите, принадлежащи на този пул. Заменянето се извършва по правилото „първи дошъл, първи обслужен“. За по-добро разбиране, нека разгледаме един пример.
Компютър от локалната мрежа с IP адрес 192.168.1.25 изпраща пакет към външната мрежа. Той попада под правилото на NAT, и полето Source се заменя с първия IP адрес от пула, в нашия случай това е 83.235.123.5. Струва си да се отбележи, че при използването на този IP пул транслацията на портове не се използва. Ако след това компютър от същата локална мрежа, с адрес например 192.168.1.35, изпрати пакет към външната мрежа и също попадне под това правило на NAT, IP адресът в полето Source на този пакет ще се промени на 83.235.123.6. Ако адресите в пула вече свършат, последващите връзки ще бъдат отхвърлени. Тоест в този случай под нашето правило на NAT могат да попаднат едновременно 4 компютъра.
Фиксираният диапазон на портове свързва вътрешни и външни диапазони на IP адреси. Транслацията на портове също е деактивирана. Това позволява фиксирано свързване на началото или края на пула на вътрешните IP адреси с началото или края на пула на външните IP адреси. В примера, посочен по-долу, вътрешният пул адреси 192.168.1.25 — 192.168.1.28 се свързва с външния пул адреси 83.235.123.5 — 83.235.125.8.
Разпределението на блокове портове — този IP пул се използва за определяне на блок от портове за потребителите на IP пула. Освен самия IP пул, тук трябва да бъдат посочени и два параметъра — размер на блока и брой блокове, определени за всеки потребител.
Сега ще разгледаме технологията Destination NAT. Тя се основава на виртуални IP адреси (VIP). При пакетите, които попада под правилата на Destination NAT, IP адресът в полето Destination се променя: обикновено публичният интернет адрес се заменя с частен адрес на сървъра. Виртуалните IP адреси се използват в политиките на междусетевите екрани като поле Destination.
Стандартният тип виртуални IP адреси е Static NAT. Това е съответствие на външни и вътрешни адреси един към един.
Вместо Static NAT, виртуалните адреси могат да бъдат ограничени до пренасочване на конкретни портове. Например, свързването към външен адрес на порт 8080 може да бъде асоциирано с вътрешен IP адрес на порт 80.
В примера, приведен по-долу, компютър с адрес 172.17.10.25 се опитва да получи достъп до адрес 83.235.123.20 на порт 80. Това свързване попада под правилото DNAT, затова IP адресът на дестинацията се променя на 10.10.10.10.
Във видеото е разгледана теорията, както и предоставени практически примери за настройка на Source и Destination NAT.
В следващите уроци ще преминем към осигуряване на безопасността на потребителите в интернет пространството. Конкретно в следващия урок ще бъде разгледан функционалът на уеб филтрирането и контрола на приложенията. За да не го пропуснете, следете обновленията на следните канали:
Източник: habr.com
