🥇8. Check Point Getting Started R80.20. NAT

Velkommen til 8. lektion. Lektionen er meget vigtig, da du efter afslutningen vil kunne konfigurere internetadgangen for dine brugere! Det må siges, at mange stopper ved denne konfiguration 🙂 Men vi er ikke en af dem! Og vi har stadig meget spændende foran os. Lad os nu komme til emnet for vores lektion.

Som du sikkert allerede har gættet, skal vi i dag tale om NAT. Jeg er sikker på, at alle, der ser denne lektion, ved, hvad NAT er. Derfor vil vi ikke gå i detaljer med, hvordan det fungerer. Jeg vil blot gentage, at NAT er en teknik til adresseoversættelse, som blev opfundet med henblik på at spare på de 'hvide', dvs. offentlige IP-adresser (de adresser, der routeres i internettet).

I den tidligere lektion har du måske allerede bemærket, at NAT er en del af Access Control-politikken. Det er meget logisk. I SmartConsole er NAT-indstillingerne placeret i en separat fane. Vi skal bestemt kigge derind i dag. Generelt vil vi i denne lektion diskutere typer af NAT, konfigurere internetadgang og gennemgå et klassisk eksempel med port forwarding. Det vil sige den funktionalitet, der oftest anvendes i virksomheder. Lad os komme i gang.

To metoder til konfiguration af NAT

Check Point understøtter to metoder til konfiguration af NAT: Automatisk NAT og Manuel NAT. For hver af disse metoder findes der to typer oversættelse: Hide NAT og Static NAT. I generel form ser det således ud:

Jeg forstår, at det i øjeblikket sandsynligvis ser meget kompliceret ud, så lad os gennemgå hver type lidt mere detaljeret.

Automatisk NAT

Dette er den hurtigste og nemmeste metode. NAT-konfigurationen kan udføres bogstaveligt talt med to klik. Alt, hvad du skal gøre, er at åbne egenskaberne for den ønskede genstand (uanset om det er gateway, netværk, vært osv.), gå til NAT-fanen og sætte kryds i "Add automatic address translation rules". Her vil du også se feltet — metoden for oversættelse. Som allerede nævnt er der to af dem.

1. Automatisk Hide NAT

Som standard er det Hide. Det vil sige, at i dette tilfælde vil vores netværk "skjule sig" bag en offentlig IP-adresse. I dette tilfælde kan adressen hentes fra gatewayens eksterne interface, eller du kan angive en anden. Denne type NAT kaldes ofte dynamisk eller many-to-one, da flere interne adresser oversættes til én ekstern. Dette er naturligvis muligt ved brug af forskellige porte under oversættelsen. Hide NAT fungerer kun i én retning (indefra-ud) og er ideelt til lokale netværk, hvor man blot ønsker at sikre adgang til internettet. Hvis trafikken initieres fra et eksternt netværk, vil NAT naturligvis ikke fungere. Det giver en ekstra beskyttelse for de interne netværk.

2. Automatisk Statisk NAT

Hide NAT er godt, men måske har du brug for at give adgang fra det eksterne netværk til en intern server. For eksempel til en DMZ-server, som i vores eksempel. I dette tilfælde kan Statisk NAT hjælpe os. Det er ret nemt at konfigurere. Det er tilstrækkeligt at ændre oversættelsesmetoden til Statisk i objektets egenskaber og angive den offentlige IP-adresse, der skal anvendes til NAT (se billedet ovenfor). Det vil sige, at hvis nogen fra det eksterne netværk henvender sig til denne adresse (uanset hvilken port!), vil anmodningen blive videresendt til serveren med den interne IP-adresse. Hvis serveren selv skal ud på internettet, vil dens IP-adresse også ændres til den adresse, vi har angivet. Det vil sige, at dette er NAT i begge retninger. Det kaldes også one-to-one og bruges nogle gange til offentlige servere. Hvorfor "nogle gange"? Fordi det har en stor ulempe - den offentlige IP-adresse er fuldstændig optaget (alle porte). Man kan ikke bruge én offentlig adresse til forskellige interne servere (med forskellige porte). For eksempel HTTP, FTP, SSH, SMTP osv. Manuel NAT kan løse dette problem.

Manuel NAT

Funktionen ved Manuel NAT er, at man selv skal oprette oversættelsesregler. I den samme fane NAT i Adgangskontrolpolitik. Manuel NAT giver mulighed for at oprette mere komplekse oversættelsesregler. Du har adgang til felter som: Original Kilde, Original Destination, Original Tjenester, Oversat Kilde, Oversat Destination, Oversatte Tjenester.

Her er også to typer NAT mulige - Hide og Statisk.

1. Manuel Hide NAT

Hide NAT kan i denne sammenhæng anvendes i forskellige situationer. Her er et par eksempler:

Når du henvender dig til en specifik ressource fra dit lokale netværk, ønsker du at bruge en anden adresse til oversættelse (forskellig fra den, der bruges til alle de andre tilfælde).
I det lokale netværk er der et enormt antal computere. Automatic Hide NAT er ikke egnet her, da en sådan indstilling kun tillader at tildele én offentlig IP-adresse, som computerne skal "skjule" sig bag. Der kan simpelthen ikke være nok porte til oversættelse. Som du måske husker, er der lidt over 65.000. Hver computer kan generere hundredvis af sessioner. Manual Hide NAT gør det muligt at angive et pool af offentlige adresser i feltet Translated Source. ip-adresser. Dermed øges antallet af mulige NAT-oversættelser.

2. Manual Static NAT

Static NAT anvendes langt oftere ved manuel oprettelse af oversætningsregler. Et klassisk eksempel er port forwarding. Det er tilfældet, når der tilgås en offentlig IP-adresse (som kan tilhøre en gateway) fra et eksternt netværk via en bestemt port, og anmodningen oversættes til en intern ressource. I vores laboratoriearbejde vil vi forwarde port 80 til DMZ-serveren.