Hallo! Willkommen zur fünften Lektion des Kurses . In haben wir die Funktionsweise von Sicherheitsrichtlinien behandelt. Nun ist es an der Zeit, lokale Benutzer ins Internet zu entlassen. In dieser Lektion werden wir daher den NAT-Mechanismus besprechen.
Neben der Freigabe von Benutzern ins Internet werden wir auch das Verfahren zur Veröffentlichung interner Dienste betrachten. Im Folgenden finden Sie eine kurze Theorie aus dem Video sowie das Video selbst.
Die NAT-Technologie (Network Address Translation) ist ein Mechanismus zur Umwandlung von IP-Adressen in Netzwerkpaketen. In Fortinet wird NAT in zwei Typen unterteilt: Source NAT und Destination NAT.
Die Bezeichnungen sind selbsterklärend – bei der Verwendung von Source NAT wird die Quelladresse geändert, bei der Verwendung von Destination NAT hingegen die Zieladresse.
Darüber hinaus gibt es mehrere Möglichkeiten, NAT zu konfigurieren: Firewall Policy NAT und Central NAT.
Wenn die erste Option verwendet wird, müssen Source und Destination NAT für jede Sicherheitsrichtlinie konfiguriert werden. In diesem Fall verwendet Source NAT entweder die IP-Adresse des ausgehenden Interfaces oder einen vordefinierten IP-Pool. Destination NAT nutzt ein vordefiniertes Objekt (sogenannte VIP – Virtuelle IP) als Zieladresse.
Bei der Verwendung von Central NAT erfolgt die Konfiguration von Source und Destination NAT sofort für das gesamte Gerät (oder die virtuelle Domain). In diesem Fall werden die NAT-Parameter auf alle Richtlinien angewendet, abhängig von den Regeln für Source NAT und Destination NAT.
Die Regeln für Source NAT werden in der zentralen Source NAT-Richtlinie konfiguriert. Destination NAT wird über das Menü DNAT unter Verwendung von IP-Adressen konfiguriert.
In diesem Unterricht behandeln wir nur die Firewall Policy NAT – wie die Praxis zeigt, ist diese Konfigurationsoption wesentlich häufiger anzutreffen als Central NAT.
Wie bereits erwähnt, gibt es bei der Konfiguration der Firewall-Richtlinie für die Quell-NAT zwei Möglichkeiten: Entweder wird die IP-Adresse durch die Adresse der ausgehenden Schnittstelle ersetzt oder durch eine IP-Adresse aus einem vordefinierten IP-Pool. Dies sieht ungefähr so aus, wie auf dem Bild unten. Im Folgenden werde ich kurz die verfügbaren Pools erläutern, aber in der Praxis werden wir nur die Option mit der Adresse der ausgehenden Schnittstelle betrachten – in unserem Modell sind uns die IP-Pools nicht von Nutzen.
Ein IP-Pool definiert eine oder mehrere IP-Adressen, die während einer Sitzung als Quelladresse verwendet werden. Diese IP-Adressen ersetzen die IP-Adresse der ausgehenden Schnittstelle des FortiGate.
Es gibt 4 Arten von IP-Pools, die auf dem FortiGate konfiguriert werden können:
- Overload
- One-to-one
- Fixed Port Range
- Port block allocation
Overload ist der Haupt-IP-Pool. In diesem Pool werden IP-Adressen nach dem Schema viele zu eins oder viele zu mehreren umgewandelt. Portweiterleitungen werden ebenfalls verwendet. Betrachten wir das im untenstehenden Diagramm dargestellte Schema. Wir haben ein Paket mit bestimmten Feldern für Quelle und Ziel. Wenn dieses Paket unter die Richtlinie der Firewall fällt, die diesem Paket den Zugang zum externen Netzwerk erlaubt, wird eine NAT-Regel angewendet. Dadurch wird im Paket das Feld Quelle durch eine der im IP-Pool angegebenen IP-Adressen ersetzt.
Im Pool vom Typ Eins zu Eins wird ebenfalls eine Vielzahl von externen IP-Adressen festgelegt. Wenn ein Paket unter die Firewall-Richtlinie fällt, die die NAT-Regel aktiviert hat, wird die IP-Adresse im Feld Quelle in eine der Adressen geändert, die diesem Pool zugeordnet sind. Der Austausch erfolgt nach dem Prinzip „Wer zuerst kommt, mahlt zuerst“. Um das klarer zu machen, betrachten wir ein Beispiel.
Ein Computer im lokalen Netzwerk mit der IP-Adresse 192.168.1.25 sendet ein Paket ins externe Netzwerk. Dieses Paket unterliegt einer NAT-Regel, wobei das Feld Source auf die erste IP-Adresse aus dem Pool geändert wird, in diesem Fall 83.235.123.5. Es ist wichtig zu beachten, dass bei der Verwendung dieses IP-Pools keine Portweiterleitung aktiviert ist. Wenn danach ein anderer Computer im selben lokalen Netzwerk mit der Adresse beispielsweise 192.168.1.35 ein Paket ins externe Netzwerk sendet und ebenfalls unter diese NAT-Regel fällt, ändert sich die IP-Adresse im Feld Source dieses Pakets auf 83.235.123.6. Sollten keine Adressen mehr im Pool verfügbar sein, werden nachfolgende Verbindungen abgelehnt. Das bedeutet, dass in diesem Fall bis zu 4 Computer gleichzeitig unter unsere NAT-Regel fallen können.
Der FIxed Port Range verbindet interne und externe IP-Adressbereiche miteinander. Die Portweiterleitung ist ebenfalls deaktiviert. Das ermöglicht eine feste Zuordnung des Anfangs oder Endes des Pools interner IP-Adressen zu Beginn oder Ende des Pools externer IP-Adressen. In dem Beispiel unten wird der interne Adresspool 192.168.1.25 – 192.168.1.28 dem externen Adresspool 83.235.123.5 – 83.235.125.8 zugeordnet.
Portblockzuweisung — dieser IP-Pool wird verwendet, um einen Block von Ports für die Benutzer des IP-Pools zuzuweisen. Neben dem IP-Pool selbst müssen hier auch zwei Parameter angegeben werden — die Blockgröße und die Anzahl der für jeden Benutzer zugewiesenen Blöcke.
Nun betrachten wir die Technologie des Destination NAT. Sie basiert auf virtuellen IP-Adressen (VIP). Bei Paketen, die unter die Regeln des Destination NAT fallen, wird die IP-Adresse im Feld Ziel geändert: in der Regel ändert sich die öffentliche Internetadresse in die private Adresse des Servers. Virtuelle IP-Adressen werden in den Richtlinien von Firewalls als Zieladresse verwendet.
Der Standardtyp der virtuellen IP-Adressen ist Static NAT. Dies ist eine Eins-zu-eins-Zuordnung von externen zu internen Adressen.
Anstelle von Static NAT können virtuelle Adressen durch die Weiterleitung spezifischer Ports begrenzt werden. Beispielsweise könnte eine Verbindung zu einer externen Adresse über Port 8080 mit einer Verbindung zur internen IP-Adresse über Port 80 assoziiert werden.
Im folgenden Beispiel versucht der Computer mit der Adresse 172.17.10.25, auf die Adresse 83.235.123.20 über Port 80 zuzugreifen. Diese Verbindung fällt unter die Regel DNAT, daher wird die Ziel-IP-Adresse in 10.10.10.10 geändert.
Im Video wird die Theorie behandelt, und es werden praktische Beispiele zur Konfiguration von Source und Destination NAT vorgestellt.
In den nächsten Lektionen werden wir uns mit der Sicherheit von Benutzern im Internet beschäftigen. Konkret wird in der nächsten Lektion die Funktionalität von Webfilterung und Anwendungskontrolle behandelt. Um nichts zu verpassen, verfolgen Sie die Updates auf den folgenden Kanälen:
Quelle: habr.com
