🥇8. Check Point Getting Started R80.20. NAT

Tere tulemast 8. õppetundi. See õppetund on väga oluline, sest selle lõpuks suudate juba oma kasutajatele internetiühendust seadistada! Tuleb tunnistada, et paljud lõpetavad selle seadistamise siin 🙂 Aga meie ei kuulu nende hulka! Meil on ees veel palju huvitavat. Ja nüüd läheme meie õppetunni teemasse.

Kuidas te juba ilmselt arvasite, räägime täna NAT-ist. Olen kindel, et kõik, kes seda õppetundi vaatavad, teavad, mis on NAT. Seetõttu ei hakka me seda tööpõhimõtet detailselt selgitama. Kordan vaid, et NAT on aadresside tõlketehnoloogia, mis loodi avalike IP-aadresside (need aadressid, mis suunatakse internetis) kokkuhoiu eesmärgil.

Eelmisel õppetunnil olete ilmselt juba märganud, et NAT kuulub Access Control poliitika alla. See on üsna loogiline. SmartConsole'is on NAT-i seaded eraldi vahekaart. Täna vaatame sinna kindlasti sisse. Üldiselt arutame selles õppetunnis NAT-i tüüpe, seadistame internetiühenduse ja vaatame klassikalist näidet port forwarding-ist. See on funktsionaalsus, mida ettevõtetes kõige sagedamini kasutatakse. Alustame.

Kaks meetodit NAT-i seadistamiseks

Check Point toetab kahte meetodit NAT-i seadistamiseks: Automaatne NAT ja Käsitsi NAT. Igal neist meetoditest on kaks tüüpi tõlkimist: Hide NAT ja Statiline NAT. Üldisel kujul näeb see välja nagu pildil:

Mõistan, et see kõik võib tunduda üsna keeruline, seega vaatame iga tüüpi natuke lähemalt.

Automaatne NAT

See on kõige kiirem ja lihtsam meetod. NAT-i seadistamine toimub sõna otseses mõttes kahe hiireklikkimisega. Kõik, mida peate tegema, on avada soovitud objekti (olgu see gateway, võrk, host jne) omadused, minna NAT-i vahekaardile ja märkida ruut „Add automatic address translation rules”. Just siin näete ka välja - tõlkemetoodika. Nagu juba varem öeldud, on neid kaks.

1. Automaatne Hide NAT

Vaikimisi on see Hide. See tähendab, et meie võrk „peidab” end mõne avaliku IP-aadressi taha. Samal ajal võib aadress olla võetud lüüsi välisest liidesest või võite määrata mõne muu. Seda tüüpi NAT-i nimetatakse sageli dünaamiliseks või many-to-one, kuna mitmeid sisemisi aadresse edastatakse ühele välisele. Loomulikult on see võimalik erinevate portide kasutamise kaudu edastamise ajal. Hide NAT töötab ainult ühes suunas (seest väljapoole) ja sobib ideaalselt kohalikele võrkudele, kui on lihtsalt vaja tagada juurdepääs Internetile. Kui liiklus algatatakse välisest võrgust, siis NAT loomulikult ei toimi. See suurendab sisemiste võrkude kaitset.

2. Automaatne staatiline NAT

Hide NAT on väga hea, kuid võib-olla soovite tagada juurdepääsu välisest võrgust mingile sisemisele serverile. Näiteks DMZ-serverile, nagu meie näites. Sellisel juhul aitab meid staatiline NAT. Selle seadistamine on samuti üsna lihtne. Piisab, kui objektis muudetakse edastamismeetod staatiliseks ja määratakse avalik IP-aadress, mida kasutatakse NAT-i jaoks (vt ülal olevat pilti). See tähendab, et kui keegi välistest võrkudest pöördub sellele aadressile (ükskõik millise porti kaudu!), siis päring suunatakse serverile juba sisemise IP-aadressiga. Samuti, kui server väljub Internetti, muutub tema IP-aadress samuti meie määratud aadressiks. See on NAT mõlemas suunas. Seda tuntakse ka kui üks-ühele ja seda kasutatakse mõnikord avalike serverite jaoks. Miks "mõnikord"? Sest sellel on üks suur puudus - avalik IP-aadress on täielikult hõivatud (kõik portid). Ühte avalikku aadressi ei saa kasutada erinevate sisemiste serverite (erinevate portide) jaoks. Näiteks HTTP, FTP, SSH, SMTP jne. Seda probleemi võib lahendada käsitsi NAT.

Käsitsi NAT

Käsitsi NAT-i eripära on see, et peate iseseisvalt looma edastamise reeglid. Samas NAT-i vahekaardil juurdepääsukontrolli poliitikas. Samuti võimaldab käsitsi NAT luua keerukamaid edastamisreegleid. Teil on juurdepääs sellistele väljadele nagu: Algne allikas, Algne sihtkoht, Algne teenused, Tõlgitud allikas, Tõlgitud sihtkoht, Tõlgitud teenused.

Siin on samuti võimalikud kaks tüüpi NAT-i - Hide ja staatiline.

1. Käsitsi Hide NAT

Hide NAT-i saab kasutada erinevates olukordades. Siin on mõned näited:

Kui pöördute konkreetsesse ressurssi kohaliku võrgu kaudu, soovite kasutada edastamiseks muud aadressi (erinevat sellest, mida kasutatakse kõigi teiste juhtumite jaoks).
Kohalikus võrgus on tohutult palju arvuteid. Automatic Hide NAT ei sobi siia, kuna sellise seadistusega on võimalik kasutada vaid ühte avalikku IP-aadressi, mille taga arvutid „peidavad“ end. Portide kvant võib lihtsalt mitte piisata. Nagu te mäletate, on neid veidi rohkem kui 65 tuhat. Samal ajal saab iga arvuti genereerida sadu seansse. Manual Hide NAT võimaldab välja panna avalike aadresside hulga väljale Translated Source. of IP addresses. Nii et suurendame võimalike NAT-tõlgete arvu.

2. Manual Static NAT

Static NAT on käsitsi tõlkereeglite loomisel palju sagedamini kasutatav. Klassikaline näide on portide edasi suunamine. Juhtum, kui välistest võrkudest pöördutakse avaliku IP-aadressi (mis võib kuuluda väravasse) kaudu kindlal pordil ja päring tõlgitakse sisemisele ressursile. Meie laboratoorses töös suuname 80. pordi DMZ-serveri poole.