5. Fortinet Getting Started v6.0. NAT

Tere! Tere tulemast kursuse viiendale tunnile Fortinet Alustamine. Sellel eelnevas õppes Oleme tutvunud turvapoliitikate tööga. Nüüd on aeg lasta kohalikud kasutajad Internetti. Selleks vaatleme sel osal NAT-mehhanismi toimimist.
Lisaks kasutajate välja viimisele Internetti käsitleme ka siseprogrammide avaldamise meetodit. Videost on allpool esitatud lühike teooria ja ka videoõpetus.
NAT (Network Address Translation) tehnoloogia on võrgupaketite IP-aadresside muutmise mehhanism. Fortineti kontekstis jaguneb NAT kaheks tüübiks: Source NAT ja Destination NAT.

Nimed räägivad enda eest — Source NAT kasutamisel muudetakse lähteaadressi, Destination NAT kasutamisel sihtaadressi.

Lisaks sellele on NAT-i seadistamiseks ka mitu varianti — Firewall Policy NAT ja Central NAT.

Esimese variandi kasutamisel peavad Source ja Destination NAT olema iga turvapoliitika jaoks seadistatud. Sel juhul kasutab Source NAT kas välise liidese IP-aadressi või eelnevalt seadistatud IP-aqu. Destination NAT kasutab sihtaadressina eelnevalt seadistatud objekti (nii nimetatud VIP — Virtual IP).

Central NAT-i kasutamisel konfigureeritakse Source ja Destination NAT kogu seadme (või virtuaalse domeeni) jaoks korraga. Sel juhul rakendatakse NAT-i parameetreid kõigile poliitikatele, sõltuvalt Source NAT-i ja Destination NAT-i reeglitest.

Source NAT reeglid seadistatakse keskse Source NAT poliitikas. Destination NAT konfigureeritakse DNAT menüüst IP-aadresside abil.

Selles osas vaatleme ainult Firewall Policy NAT-i — praktika näitab, et see seadistamisvariant esineb palju sagedamini kui Central NAT.

Kuidas ma juba ütlesin, on Firewall Policy Source NAT-i seadistamisel kaks varianti: kas välise liidese IP-aadress asendamine või IP-aadress eelnevalt seadistatud IP-aadresside puul. See näeb välja umbes nagu alloleval joonisel. Edasi räägin lühidalt võimalikest puulistest, kuid praktikas vaatame ainult välise liidese aadressi varianti — meie maketil ei ole IP-aadresside puule küsimust.

IP-pool määrab ühe või mitu IP-aadressi, mida kasutatakse allikaaadressina seansi jooksul. Need IP-aadressid kasutatakse FortiGate'i välise liidese IP-aadressi asendamiseks.

FortiGate'il on neli tüüpi IP-poolide seadistamiseks:

• Yksuse ülekandmine
• Üks-ühele
• Fikseeritud portide vahemik
• Portide ploki jaotamine

Yksuse ülekandmine on peamine IP-pool. Selles muudavad IP-aadressid oma kuju, toimides palju ühele või palju mitmele. Kasutatakse ka portide ülekandmist. Vaatame allolevas joonisel esitatud skeemi. Meil on pakett, millel on kindlad Source ja Destination väljad. Kui see pääseb läbi tulemüüripoliitika, mis võimaldab sellel paketil välisse võrku minna, rakendatakse sellele NAT reeglit. Tulemusena muudetakse selle paketi Source väli üheks IP-aadressiks, mis on määratud IP-poolis.

Üks-ühele poolis määratakse samuti mitu välise IP-aadressi. Kui pakett läbib tulemüüripoliitikat, mis sisaldab aktiveeritud NAT reeglit, muudetakse Source väli aadressiks, mis kuulub sellele poolile. Asendamine toimub reegli järgi — "esimene saab, esimene teenindatakse". Et selgem oleks, vaatame näidet.

Kohalikust võrgust arvuti IP-aadressiga 192.168.1.25 saadab paketi välisse võrku. See satub NAT reegli alla ja Source väli muudetakse esimeseks IP-aadressiks poolis, meie juhul 83.235.123.5. Tuleb märkida, et selle IP-pooli kasutamisel portide ülekandmine ei toimi. Kui seejärel sama kohalikust võrgust arvuti IP-aadressiga 192.168.1.35 saadab paketi välisse võrku ja satub samuti NAT reegli alla, muudetakse selle paketi Source väli aadressiks 83.235.123.6. Kui poolis ei ole enam aadresse, jäävad järgmised ühendused tagasi lükatud. Seega meie NAT reegli alla võivad samaaegselt sattuda neli arvutit.

Fikseeritud portide vahemik seob omavahel sisemised ja välised IP-aadresside vahemikud. Portide ülekandmine on samuti välja lülitatud. See võimaldab fikseeritult siduda sisemise IP-aadresside pooli alguse või lõpu väliste IP-aadresside pooli alguse või lõpu. Allolevas näites sisemine IP-aadresside pool 192.168.1.25 – 192.168.1.28 vastandatakse välisele IP-aadresside poolile 83.235.123.5 – 83.235.125.8.

Portide ploki jaotamine — seda IP-pooli kasutatakse, et eraldada portide plokk IP-pooli kasutajatele. Lisaks iseendale peab siin olema määratud kaks parameetrit — ploki suurus ja plokkide arv, mis on jagatud iga kasutaja jaoks.

Nüüd vaatame tehnoloogiat Destination NAT. See põhineb virtuaalsetel IP-aadressidel (VIP). Pakettide puhul, mis alluvad Destination NAT reeglitele, muudetakse sihtkoht IP-aadressi: tavaliselt muudetakse avalik internetiaadress privaatseks serveri aadressiks. Virtuaalseid IP-aadresse kasutatakse tulemüüride poliitikates sihtlahterena.

Standardsed virtuaalsed IP-aadressid on Static NAT. See tähendab, et välised ja sisemised aadressid vastavad üksteisele üksühele.

Static NAT-i asemel saab virtuaalseid aadresse piirata konkreetsete sadamate edastamisega. Näiteks saab välise aadressi ühendusi sadamal 8080 seostada sisemise IP-aadressiga sadamal 80.

Alltoodud näites püüab arvuti aadressiga 172.17.10.25 pääseda aadressile 83.235.123.20 sadamal 80. See ühendus allub DNAT reeglile, seega muudetakse sihtkoht IP-aadress 10.10.10.10.

Videos käsitletakse teooriat ning antakse praktilised näited Source ja Destination NAT seadistamisest.

Tulevastes tundides liigume edasi kasutajate turvalisuse tagamisel internetis. Täpsemalt käsitleme järgmisel tunnil veebifiltrimise ja rakenduste kontrollimise funktsioone. Et seda mitte maha magada, jälgige värskendusi järgmistes kanalites:

Youtube
VKontakte grupp
Yandex Zen
Meie veebisait
Telegrami kanal

Allikas: habr.com