5. Fortinet Getting Started v6.0. NAT

Tere tulemast! Olete jõudnud kursuse viiendasse õppetundi. Fortinet Getting Started. Lehelt tunnil Oleme tutvunud turvapoliitikate toimimisega. Nüüd on aeg lasta kohalikel kasutajatel Internetti. Selleks vaatame selles õppetunnis NAT-mehhanismi toimimist.
Lisaks kasutajate Internetti laskmisele vaatame ka meetodit siseteenuste avaldamiseks. Allpool on lühike teooria videost ja ka ise videolood.
NAT (Network Address Translation) tehnoloogia on IP-aadresside muutmise mehhanism võrgupakettides. Fortineti kontekstis jaguneb NAT kaheks tüübiks: Source NAT ja Destination NAT.

Nimed räägivad enda eest – Source NAT kasutamisel muudetakse allika aadressi, Destination NAT kasutamisel sihtaadressi.

Lisaks on NAT-i seadmise variante mitu – Firewall Policy NAT ja Central NAT.

Esimese juhul peavad Source ja Destination NAT olema seadistatud iga turvapoliitika jaoks. Sellisel juhul kasutab Source NAT kas välise liidese IP-aadressi või eelnevalt seadistatud IP Pooli. Destination NAT kasutab eelnevalt seadistatud objekti (nn VIP – Virtual IP) sihtaadressina.

Central NAT'i kasutamisel on Source ja Destination NAT konfiguratsioon koheselt seadistatud kogu seadmele (või virtuaalsele domeenile). Sel juhul rakendatakse NAT parameetreid kõigile poliitikatele, sõltuvalt Source NAT ja Destination NAT reeglitest.

Source NAT reeglid seadistatakse kesksetes Source NAT poliitikates. Destination NAT konfigureeritakse DNAT menüüst, kasutades IP-aadresse.

Käesolevas õppetükis käsitleme ainult Firewall Policy NAT'i — praktika näitab, et see konfiguratsioonivalik esineb palju sagedamini kui Central NAT.

Nagu ma juba ütlesin, on Firewall Policy Source NAT konfigureerimisel kaks seadistusvarianti: IP-aadresse asendamine väljuva liidesega või IP-aadressilt eelnevalt seadistatud IP-aadresside basseinilt. See näeb välja umbes nagu alloleval joonisel. Edasi räägin lühidalt võimalike basseinide kohta, kuid praktikas vaatame ainult väljuva liidese aadressi varianti — meie maketis ei ole IP-aadresside basseinid meile vajalikud.

IP bassein määratleb ühe või mitu IP-aadressi, mida kasutatakse sessiooni jooksul allika aadressina. Need IP-aadressid asendavad FortiGate'i väljuva liidese IP-aadressi.

FortiGate'i seadistamiseks on neli erinevat IP-aadresse kogumit:

• Üleminek
• Üks-ühele
• Fikseeritud portide vahemik
• Portide ploki jaotamine

Üleminek on peamine IP-aadresside kogum. Selles muudetakse IP-aadresse vastavalt paljusest ühele või paljusest paljudele. Samuti kasutatakse portide ülekandmist. Vaatame diagrammi allpool. Meil on pakett, millel on kindlad Source ja Destination väljad. Kui see paketiga seondub tulemüüripoliitikaga, mis lubab sellele paketile juurdepääsu välisse võrku, kehtib sellele NAT-reegel. Sellega asendatakse paketi Source väli ühega IP-aadressidest, mis on määratud IP-kogumis.

Üks-ühele tüüpi kogumis määratakse samuti arvukalt väliseid IP-aadresse. Kui pakett langeb tulemüürireegli alla koos aktiveeritud NAT-reegliga, muudetakse Source väli IP-aadressiks, mis kuulub antud kogumisse. Asendamine toimub reegli kohaselt — "esimene saab, esimene teenindatakse". Selguse huvides vaatame näidet.

Kohalikust võrgust arvuti, mille IP-aadress on 192.168.1.25, saadab paketi välisingonesse. See kuulub NAT reegli alla ja Source väli muutub esimese IP-aadressi järgi puul, meie puhul 83.235.123.5. Tuleb märkida, et selle IP-puuli kasutamisel ei kasutata portide tõlget. Kui seejärel saadab sama kohalikust võrgust arvuti, mille aadress on näiteks 192.168.1.35, paketi välisingonesse ja satub ka sellele NAT reeglile, muutub selle paketi Source väli IP-aadressiks 83.235.123.6. Kui puulis ei jää rohkem aadresse, lükatakse järgmised ühendused tagasi. See tähendab, et meie NAT reegli alla võivad korraga kuuluda 4 arvutit.

FIxed Port Range seob omavahel sisemised ja välishaadad IP-aadressid. Portide tõlge on samuti välja lülitatud. See võimaldab fikseerida sisemiste IP-aadresside puu alguse või lõpu välishaadade puu alguse või lõpuga. Ajal, nagu allpool, seostatakse sisemine aadrire tase 192.168.1.25 — 192.168.1.28 välishaadade puuga 83.235.123.5 — 83.235.125.8.

Port Block Allocation — see IP plokk kasutatakse portide ploki jagamiseks IP ploki kasutajatele. Peale IP ploki tuleb siia märkida ka kaks parameetrit — ploki suurus ja plokkide arv, mis on antud igale kasutajale.

Nüüd vaatame tehnoloogiat Destination NAT. See põhineb virtuaalsel IP aadressil (VIP). Pakettide puhul, mis kuuluvad Destination NAT reeglite alla, muudetakse sihtaadressi väljad: tavaliselt muudetakse avalikku interneti aadressi privaatseks serveri aadressiks. Virtuaalseid IP aadresse kasutatakse tulemüüripoliitikates sihtaadressina.

Standardsed virtuaalsed IP aadressid on Static NAT. See on väliste ja sisemiste aadresside üks-ühele vastavus.

Static NAT asemel saab virtuaalseid aadresse piirata konkreetsete portide suunamisega. Näiteks seondada välisest aadressist 8080 korraldusega sisemisele IP aadressile port 80.

Allolevas näites üritab aadressiga 172.17.10.25 arvuti pääseda ligi aadressile 83.235.123.20 läbi port 80. See ühendus kuulub DNAT reegli alla, seega muudetakse sihtaadressiks 10.10.10.10.

Videos käsitletakse teooriat ja tuuakse välja praktilised näited Source ja Destination NAT-i seadistamisest.

Järgmistes tundides liikume edasi kasutajate turvalisuse tagamise teemal internetis. Konkreetselt käsitleme järgmises tunnis veebifiltrimise ja rakenduste kontrollimise funktsionaalsust. Ärge jääge seda maha — jälgige meie kanaleid, et olla kursis uuendustega:

Youtube
Vkontakte grupp
Yandex Zen
Meie veebisait
Telegrami kanal

Allikas: habr.com