🥇8. Check Point Einstieg R80.20. NAT

Willkommen zur 8. Lektion. Diese Lektion ist sehr wichtig, denn nach ihrem Abschluss werden Sie in der Lage sein, den Internetzugang für Ihre Benutzer einzurichten! Es muss zugegeben werden, dass viele mit dieser Einrichtung enden 🙂 Aber wir gehören nicht dazu! Und wir haben noch viele spannende Themen vor uns. Jetzt kommen wir zum Thema unserer Lektion.

Wie Sie sich wahrscheinlich schon gedacht haben, werden wir heute über NAT sprechen. Ich bin mir sicher, dass alle, die diese Lektion ansehen, wissen, was NAT ist. Daher werden wir nicht im Detail erklären, wie es funktioniert. Ich wiederhole nur noch einmal, dass NAT eine Technologie zur Adressübersetzung ist, die entwickelt wurde, um "weiße", d.h. öffentliche IP-Adressen (die Adressen, die im Internet-Routing verwendet werden) zu sparen.

In der vorherigen Lektion haben Sie wahrscheinlich schon bemerkt, dass NAT Teil der Access-Control-Policy ist. Das ist durchaus logisch. In der SmartConsole sind die NAT-Einstellungen in einen eigenen Tab untergebracht. Heute werden wir uns dort unbedingt umsehen. Insgesamt werden wir in dieser Lektion die NAT-Typen besprechen, den Internetzugang einrichten und ein klassisches Beispiel für Portweiterleitung betrachten. Das ist die Funktionalität, die in Unternehmen am häufigsten verwendet wird. Lassen Sie uns beginnen.

Zwei Möglichkeiten zur Einrichtung von NAT

Check Point unterstützt zwei Möglichkeiten zur Einrichtung von NAT: Automatisches NAT und Manuelles NAT. Für jede dieser Möglichkeiten gibt es zwei Typen der Übersetzung: Hide NAT und Statisches NAT. Im Allgemeinen sieht das so aus wie auf diesem Bild:

Ich verstehe, dass es momentan sehr komplex erscheinen könnte, daher lassen Sie uns jeden Typ etwas genauer betrachten.

Automatisches NAT

Das ist der schnellste und einfachste Weg. Die NAT-Konfiguration erfolgt praktisch in zwei Klicks. Alles, was Sie tun müssen, ist, die Eigenschaften des gewünschten Objekts (egal ob Gateway, Netzwerk, Host usw.) zu öffnen, zum Tab NAT zu wechseln und das Häkchen bei "Automatische Adressübersetzungsregeln hinzufügen" zu setzen. Hier werden Sie auch das Feld sehen – Methode der Übersetzung. Diese, wie bereits erwähnt, sind zwei.

1. Automatisches Hide NAT

Standardmäßig ist dies Hide. Das heißt, in diesem Fall wird unser Netzwerk hinter einer öffentlichen IP-Adresse "versteckt". Diese Adresse kann vom externen Interface des Gateways stammen, oder Sie können eine andere angeben. Diese Art von NAT wird oft als dynamisch oder many-to-one bezeichnet., da mehrere interne Adressen in eine externe übersetzt werden. Das ist natürlich möglich durch die Verwendung verschiedener Ports bei der Übersetzung. Hide NAT funktioniert nur in eine Richtung (von innen nach außen) und eignet sich ideal für lokale Netzwerke, wenn einfach nur der Zugang zum Internet sichergestellt werden soll. Wenn der Verkehr aus dem externen Netzwerk initiiert wird, funktioniert NAT natürlich nicht. Das ergibt quasi einen zusätzlichen Schutz für interne Netzwerke.

2. Automatisches statisches NAT

Hide NAT ist zwar gut, aber vielleicht müssen Sie den Zugang von einem externen Netzwerk zu einem internen Server ermöglichen. Zum Beispiel zu einem DMZ-Server, wie in unserem Beispiel. In diesem Fall kann uns das statische NAT helfen. Es lässt sich ebenfalls recht einfach einrichten. Es genügt, in den Eigenschaften des Objekts die Methode der Übersetzung auf statisch zu ändern und die öffentliche IP-Adresse anzugeben, die für NAT verwendet werden soll (siehe Bild oben). Das heißt, wenn jemand aus dem externen Netzwerk diese Adresse anspricht (über irgendeinen Port!), wird die Anfrage an den Server mit der internen IP-Adresse weitergeleitet. Wenn der Server selbst ins Internet geht, wird seine IP-Adresse ebenfalls auf die von uns angegebene Adresse geändert. Das bedeutet, es handelt sich um NAT in beide Richtungen. Es wird auch genannt eins-zu-eins , und wird manchmal für öffentliche Server verwendet. Warum „manchmal“? Weil es einen großen Nachteil hat – die öffentliche IP-Adresse wird vollständig belegt (alle Ports). Man kann eine öffentliche Adresse nicht für verschiedene interne Server (mit unterschiedlichen Ports) verwenden. Zum Beispiel HTTP, FTP, SSH, SMTP usw. Diese Problematik kann durch manuelles NAT gelöst werden.

Manuelles NAT

Das Besondere an manuellem NAT ist, dass man selbst die Übersetzungsregeln erstellen muss. In dem oben genannten Reiter NAT in der Zugriffskontrollrichtlinie. Manuelles NAT ermöglicht zudem die Erstellung komplexerer Übersetzungsregeln. Ihnen stehen Felder wie: Ursprüngliche Quelle, Ursprüngliches Ziel, Ursprüngliche Dienste, Übersetzte Quelle, Übersetztes Ziel, Übersetzte Dienste zur Verfügung.

Hier sind ebenfalls zwei Arten von NAT möglich – Hide und Static.

1. Manuelles Hide NAT

Hide NAT kann in diesem Fall in verschiedenen Situationen verwendet werden. Hier sind einige Beispiele:

Wenn Sie auf eine bestimmte Ressource aus dem lokalen Netzwerk zugreifen möchten, möchten Sie eine andere Adresse für die Übersetzung verwenden (unterschiedlich von der, die für alle anderen Fälle verwendet wird).
In einem lokalen Netzwerk gibt es eine riesige Anzahl von Computern. Automatic Hide NAT ist hier ungeeignet, da bei dieser Einstellung nur eine öffentliche IP-Adresse festgelegt werden kann, hinter der die Computer "versteckt" sind. Es könnte einfach nicht genügend Ports für die Übersetzung geben. Wie Sie sich erinnern, gibt es etwas mehr als 65.000. Dabei kann jeder Computer Hunderte von Sitzungen generieren. Manual Hide NAT ermöglicht es, im Feld Translated Source einen Pool öffentlicher von IP-Adressen. Dadurch wird die Anzahl möglicher NAT-Übersetzungen erhöht.

2. Manual Static NAT

Static NAT wird viel häufiger verwendet, wenn Regeln zur Übersetzung manuell erstellt werden. Ein klassisches Beispiel ist das Port Forwarding. Der Fall, wenn von einem externen Netzwerk auf eine öffentliche IP-Adresse (die einem Gateway gehören kann) über einen bestimmten Port zugegriffen wird und die Anfrage auf eine interne Ressource übersetzt wird. In unserer Laborarbeit leiten wir den Port 80 zum DMZ-Server weiter.