Willkommen! Willkommen zur fĂŒnften Lektion des Kurses . Auf der haben wir uns mit der Funktionsweise von Sicherheitsrichtlinien beschĂ€ftigt. Jetzt ist es an der Zeit, lokale Benutzer ins Internet zu lassen. In dieser Lektion werden wir uns mit dem Mechanismus NAT befassen.
Neben der Veröffentlichung von Benutzern im Internet werden wir auch die Methode der Veröffentlichung interner Dienste betrachten. Im Folgenden finden Sie eine kurze Theorie aus dem Video sowie die Video-Lektion selbst.
Die NAT-Technologie (Network Address Translation) ist ein Mechanismus zur Umwandlung von IP-Adressen in Netzwerkpaketen. In den Begriffen von Fortinet wird NAT in zwei Typen unterteilt: Source NAT und Destination NAT.
Die Namen sprechen fĂŒr sich â bei der Verwendung von Source NAT wird die Quelladresse geĂ€ndert, bei der Verwendung von Destination NAT die Zieladresse.
DarĂŒber hinaus gibt es mehrere Möglichkeiten, NAT zu konfigurieren â Firewall Policy NAT und Central NAT.
Beim ersten Ansatz mĂŒssen Source und Destination NAT fĂŒr jede Sicherheitsrichtlinie konfiguriert werden. In diesem Fall verwendet Source NAT entweder die IP-Adresse des ausgehenden Interfaces oder einen vorab konfigurierten IP-Pool. Destination NAT verwendet ein vordefiniertes Objekt (das sogenannte VIP â Virtual IP) als Zieladresse.
Beim Central NAT erfolgt die Konfiguration von Source und Destination NAT sofort fĂŒr das gesamte GerĂ€t (oder die virtuelle DomĂ€ne). In diesem Fall werden die NAT-Parameter auf alle Richtlinien angewendet, abhĂ€ngig von den Regeln fĂŒr Source NAT und Destination NAT.
Die Regeln fĂŒr Source NAT werden in der zentralen Regelung fĂŒr Source NAT konfiguriert. Destination NAT wird ĂŒber das MenĂŒ DNAT unter Verwendung von IP-Adressen konfiguriert.
In dieser Lektion werden wir uns ausschlieĂlich mit Firewall Policy NAT befassen â wie die Praxis zeigt, tritt diese Konfigurationsvariante wesentlich hĂ€ufiger auf als Central NAT.
Wie bereits erwĂ€hnt, gibt es bei der Konfiguration von Firewall Policy Source NAT zwei Möglichkeiten: Ersetzen der IP-Adresse durch die Adresse des ausgehenden Interfaces oder durch eine IP-Adresse aus einem vordefinierten IP-Pool. Das sieht ungefĂ€hr so aus, wie im folgenden Bild dargestellt. Danach werde ich kurz ĂŒber mögliche Pools sprechen, aber in der Praxis werden wir nur die Variante mit der Adresse des ausgehenden Interfaces betrachten â auf unserem Modell benötigen wir keine IP-Pools.
Der IP-Pool definiert eine oder mehrere IP-Adressen, die wÀhrend der Sitzung als Quelladresse verwendet werden. Diese IP-Adressen werden anstelle der IP-Adresse des ausgehenden FortiGate-Interfaces verwendet.
Es gibt 4 Arten von IP-Pools, die auf FortiGate konfiguriert werden können:
- Ăberlastung
- Eins-zu-eins
- Fester Portbereich
- Portblockzuweisung
Ăberlastung ist der Haupt-IP-Pool. Hier werden IP-Adressen nach dem Muster von viele zu eins oder viele zu mehreren umgewandelt. AuĂerdem wird PortĂŒbersetzung verwendet. Betrachten wir das Diagramm unten. Wir haben ein Paket mit bestimmten Feldern fĂŒr Quelle und Ziel. Wenn es unter eine Firewall-Richtlinie fĂ€llt, die diesem Paket den Zugang zum externen Netzwerk erlaubt, wird eine NAT-Regel darauf angewendet. Ergebnis ist, dass das Feld Quelle in diesem Paket durch eine der in dem IP-Pool angegebenen IP-Adressen ersetzt wird.
Im Eins-zu-eins-Pool wird ebenfalls eine Vielzahl von externen IP-Adressen definiert. Wenn ein Paket unter die Firewall-Richtlinie mit aktivierter NAT-Regel fÀllt, wird die IP-Adresse im Feld Quelle auf eine der Adressen geÀndert, die zu diesem Pool gehören. Der Austausch erfolgt nach dem Prinzip 'wer zuerst kommt, mahlt zuerst'. Um es verstÀndlicher zu machen, betrachten wir ein Beispiel.
Ein Computer aus dem lokalen Netzwerk mit der IP-Adresse 192.168.1.25 sendet ein Paket ins externe Netzwerk. Es fĂ€llt unter die NAT-Regel, und das Feld Quelle wird auf die erste IP-Adresse aus dem Pool geĂ€ndert, in diesem Fall 83.235.123.5. Es ist erwĂ€hnenswert, dass bei Verwendung dieses IP-Pools keine PortĂŒbersetzung verwendet wird. Wenn danach ein weiterer Computer aus demselben lokalen Netzwerk, sagen wir mit der Adresse 192.168.1.35, ein Paket ins externe Netzwerk sendet und ebenfalls unter diese NAT-Regel fĂ€llt, wird die IP-Adresse im Feld Quelle dieses Pakets auf 83.235.123.6 geĂ€ndert. Wenn keine Adressen mehr im Pool vorhanden sind, werden nachfolgende Verbindungen abgelehnt. Das heiĂt, in diesem Fall können gleichzeitig 4 Computer unter unsere NAT-Regel fallen.
Der feste Portbereich verbindet interne und externe IP-Adressbereiche miteinander. Die PortĂŒbersetzung ist ebenfalls deaktiviert. Dies ermöglicht es, den Anfang oder das Ende des Pools interner IP-Adressen fest mit dem Anfang oder dem Ende des Pools externer IP-Adressen zu verknĂŒpfen. Im folgenden Beispiel wird der interne Pool der Adressen 192.168.1.25 â 192.168.1.28 dem externen Pool der Adressen 83.235.123.5 â 83.235.125.8 zugeordnet.
Portblock-Zuweisung â dieser IP-Pool wird verwendet, um einen Block von Ports fĂŒr Benutzer des IP-Pools zuzuweisen. Neben dem IP-Pool mĂŒssen hier auch zwei Parameter angegeben werden â die BlockgröĂe und die Anzahl der Blöcke, die jedem Benutzer zugewiesen werden.
Jetzt schauen wir uns die Technologie Destination NAT an. Sie basiert auf virtuellen IP-Adressen (VIP). Bei Paketen, die unter die Regeln von Destination NAT fallen, wird die IP-Adresse im Zielbereich geÀndert: normalerweise wird die öffentliche Internetadresse in die private Adresse des Servers umgewandelt. Virtuelle IP-Adressen werden in Firewall-Richtlinien als Zielbereich verwendet.
Der Standardtyp virtueller IP-Adressen ist Static NAT. Es handelt sich um eine Eins-zu-eins-Zuordnung zwischen Ă€uĂeren und inneren Adressen.
Anstelle von Static NAT können virtuelle Adressen durch die Weiterleitung bestimmter Ports eingeschrĂ€nkt werden. Zum Beispiel kann eine Verbindung zu einer externen Adresse ĂŒber Port 8080 mit einer Verbindung zu einer internen IP-Adresse ĂŒber Port 80 assoziiert werden.
Im folgenden Beispiel versucht ein Computer mit der Adresse 172.17.10.25, auf die Adresse 83.235.123.20 ĂŒber Port 80 zuzugreifen. Diese Verbindung fĂ€llt unter die Regel DNAT, daher wird die Ziel-IP-Adresse in 10.10.10.10 geĂ€ndert.
Im Video werden die Theorie sowie praktische Beispiele zur Einrichtung von Source und Destination NAT behandelt.
In den folgenden Lektionen werden wir uns mit der Sicherheit der Benutzer im Internet befassen. Im nĂ€chsten Lehrgang werden wir die FunktionalitĂ€t der Webfilterung und AnwendungsĂŒberwachung behandeln. Verpassen Sie es nicht, indem Sie die Updates auf folgenden KanĂ€len verfolgen:
Quelle: habr.com
