🥇8. Check Point Getting Started R80.20. NAT

Vítejte v 8. lekci. Tato lekce je velmi důležitá, protože po jejím dokončení budete schopni nastavit připojení k internetu pro vaše uživatele! Je třeba přiznat, že mnoho lidí tímto nastavením končí 🙂 Ale my mezi ně nepatříme! A máme před sebou ještě spoustu zajímavého. Nyní se dostáváme k tématu naší lekce.

Jak jste si asi již domysleli, dnes budeme hovořit o NAT. Jsem si jistý, že všichni, kdo sledují tuto lekci, vědí, co je to NAT. Proto nebudeme podrobně popisovat, jak to funguje. Jen ještě jednou zopakuji, že NAT je technologie překladu adres, která byla vymýšlena za účelem úspory „bílých“, tzn. veřejných IP adres (těch adres, které jsou směrovány v síti Internet).

V předchozí lekci jste si pravděpodobně všimli, že NAT je součástí politiky řízení přístupu. To dává smysl. V SmartConsole jsou nastavení NAT vyčleněna do samostatné záložky. Dnes se na ni určitě podíváme. V celkovém pohledu v této lekci probereme typy NAT, nastavíme přístup na Internet a prozkoumáme klasický příklad s přesměrováním portů. Tzn. funkčnost, která se nejčastěji používá ve firmách. Pojďme na to.

Dva způsoby nastavení NAT

Check Point podporuje dva způsoby nastavení NAT: Automatický NAT a Manuální NAT. Pro každý z těchto způsobů existují dva typy překladu: Hide NAT a Statický NAT. V obecné podobě to vypadá jako na tomto obrázku:

Rozumím, že to nyní pravděpodobně vypadá velmi složitě, proto si probereme každý typ podrobněji.

Automatický NAT

To je nejrychlejší a nejjednodušší způsob. Nastavení NAT se provádí doslova ve dvou kliknutích. Vše, co musíte udělat, je otevřít vlastnosti požadovaného objektu (ať už je to brána, síť, host atd.), přejít na záložku NAT a zaškrtnout políčko „Přidat automatická pravidla pro překlad adres“. Zde také uvidíte pole — metodu překladu. Jak již bylo uvedeno výše — jsou dvě.

1. Automatický Hide NAT

Ve výchozím nastavení je to Hide. Tzn. v tomto případě se naše síť „schová“ za nějakou veřejnou IP adresou. Tato adresa může být vzata z externího rozhraní brány nebo lze uvést nějakou jinou. Tento typ NAT se často nazývá dynamickým nebo many-to-one, protože několik vnitřních adres se převádí na jednu externí. To je samozřejmě možné díky použití různých portů při překladu. Hide NAT funguje pouze jedním směrem (zvnitřku ven) a ideálně se hodí pro místní sítě, kde je třeba pouze zajistit přístup k internetu. Pokud bude provoz iniciován z externí sítě, NAT přirozeně nebude fungovat. Vzniká tedy jakási dodatečná ochrana vnitřních sítí.

2. Automatický statický NAT

Hide NAT je skvělý, ale možná potřebujete zajistit přístup z externí sítě k nějakému vnitřnímu serveru. Například k DMZ serveru, jak je ukázáno v našem příkladu. V takovém případě nám může pomoci Static NAT. Nastavuje se také docela jednoduše. Stačí v vlastnostech objektu změnit metodu překladu na Static a uvést veřejnou IP adresu, která bude používána pro NAT (viz obrázek výše). Tedy pokud se někdo z externí sítě obrátí na tuto adresu (přes libovolný port!), žádost bude předána serveru s již vnitřní IP adresou. Pokud server sám vyjde na internet, jeho IP adresa se také změní na uvedenou adresu. Tedy se jedná o NAT oběma směry. Říká se mu také one-to-one a někdy se používá pro veřejné servery. Proč "někdy"? Protože má jednu velkou nevýhodu — veřejná IP adresa je plně obsazena (všechny porty). Nelze používat jednu veřejnou adresu pro různé vnitřní servery (s různými porty). Například HTTP, FTP, SSH, SMTP atd. Řešením tohoto problému může být Manual NAT.

Manuální NAT

Charakteristika Manual NAT spočívá v tom, že je třeba jednotlivě vytvářet pravidla překladu. Přímo v záložce NAT v přístupové politice. Manual NAT umožňuje vytvářet složitější pravidla překladu. Jsou vám k dispozici taková pole jako: Původní zdroj, Původní cíl, Původní služby, Přeložený zdroj, Přeložený cíl, Přeložené služby.

Zde jsou také možné dva typy NAT — Hide a Static.

1. Ruční Hide NAT

Hide NAT může být v tomto případě použito v různých situacích. Pár příkladů:

Při přístupu k nějakému konkrétnímu zdroji z místní sítě chcete používat jinou adresu pro překlad (různou od té, která se používá pro všechny ostatní případy).
V lokální síti je obrovské množství počítačů. Automatic Hide NAT zde nebude vyhovovat, protože při tomto nastavení je možné přiřadit pouze jednu veřejnou IP adresu, za kterou se budou "skrývat" počítače. Portů pro překlad může jednoduše být nedostatek. Jak jistě víte, jich je něco málo přes 65 tisíc. Každý počítač přitom může generovat stovky relací. Manual Hide NAT umožňuje v poli Translated Source nastavit pool veřejných IP adres. Tím se zvyšuje počet možných NAT překladů.

2. Manual Static NAT

Static NAT se používá mnohem častěji při ručním vytváření pravidel pro překlad. Klasickým příkladem je přeposílání portů. Případ, kdy se z externí sítě dotazují na veřejnou IP adresu (která může patřit bráně) na určitém portu a požadavek je překládán na vnitřní zdroj. V naší laboratorní práci přepošleme port 80 na DMZ server.