🥇8. Check Point Getting Started R80.20. NAT

Tere tulemast 8. õppetundi. See õppetund on väga oluline, kuna selle lõpetamisel suudate juba seadistada internetiühenduse oma kasutajatele! Pean tunnistama, et paljud lõpetavad seadistamise just siinkohal 🙂 Kuid meie ei kuulu nende hulka! Meil on ees veel palju huvitavat. Nüüd aga meie õppetunni teemasse.

Nagu te ehk juba arvasite, räägime täna NAT-ist. Olen kindel, et kõik, kes seda õppetundi vaatavad, teavad, mis on NAT. Seetõttu ei hakka me üksikasjalikult seletama, kuidas see töötab. Kordan vaid, et NAT on aadresside tõlke tehnoloogia, mis loodi eesmärgiga säästa 'valgeid', st avalikke IP-aadresse (need aadressid, mida marsruutitakse internetis).

Eelmisel õppetunnil olete ilmselt juba märganud, et NAT on osa juurdepääsu kontrolli poliitikast. See on üsna loogiline. SmartConsole'is on NAT seaded viidud eraldi vahekaardile. Täna külastame seda kindlasti. Üldiselt arutame käesolevas õppetunnis NAT tüüpide üle, seadistame internetiühenduse ja vaatame klassikalist näidet port forwarding'ust. St funktsioon, mida ettevõtetes kõige sagedamini kasutatakse. Alustame.

Kaks meetodit NAT-i seadistamiseks

Check Point toetab NAT-i seadistamiseks kahte meetodit: Automaatne NAT ja Manuaalne NAT. Igal neist meetoditest on kaks tüüpi tõlkimist: Peidetud NAT ja Statiline NAT. Üldiselt näeb see välja nagu sellel pildil:

Mõistan, et see võib praegu tunduda üsna keeruline, seega vaatame iga tüüpi veidi lähemalt.

Automaatne NAT

See on kõige kiirem ja lihtsam meetod. NAT-i seadistamine toimub sõna otseses mõttes kahe hiireklõpsuga. Kõik, mis peate tegema, on avada soovitud objekti omadused (olgu selleks gateway, network, host jne), minna NAT vahelehele ja märkida ruut “Lisa automaatsed aadressitõlke reeglid”. Siin näete ka välja - tõlke meetod. Nagu juba eespool mainitud, on neid kaks.

Automaatne Peidetud NAT

Eeldatavasti on see peidetud. See tähendab, et meie võrk “peidab” end mingi avaliku IP-aadressi taha. Aadress võib olla seotud ruuteri välise liidese, või võite määrata mõne muu. Seda tüüpi NAT-i nimetatakse sageli dünaamiliseks või mitmest ühele, kuna mitmed siseaadressid tõlgitakse üheks väljaspool asuvaks. Loomulikult on see võimalik tänu erinevate portide kasutamisele tõlkimisel. Hide NAT töötab ainult ühes suunas (seest väljas) ja sobib ideaalselt kohalikele võrkudele, kui on vajalik lihtsalt tagada juurdepääs Internetile. Kui liiklus algatatakse välisest võrgust, siis NAT loomulikult ei toimi. See on justkui täiendav kaitse sisevõrkudele.

2. Automaatne staatiline NAT

Hide NAT on hea kõik hästi, kuid võib-olla peate tagama juurdepääsu välisest võrgust mõnele sisemisele serverile. Näiteks DMZ-serverile, nagu meie näites. Sel juhul võib meile abiks olla Static NAT. Selle seadistamine on samuti üsna lihtne. Piisab, kui muudad objekti omadustes tõlke meetodi Statiliseks ja saadad avaliku IP-aadressi, mida kasutatakse NAT-i jaoks (vt ülalolevat pilti). Kui keegi välisest võrgust pöördub sellele aadressile (ükskõik millisel pordil!), siis päring suunatakse serverile, millel on juba sisemine IP-aadress. Samal ajal, kui server ise väljuvad Internetti, siis selle IP-aadress vahetub samuti meie määratud aadressiga. See on NAT mõlemas suunas. Seda kutsutakse ka one-to-one ja mõnikord kasutatakse seda avalike serverite jaoks. Miks "mõnikord"? Sest sellel on üks suur puudus — avalik IP-aadress on täielikult hõivatud (kõik pordid). Ühte avalikku aadressi ei saa kasutada erinevate sisemiste serverite jaoks (erinevate pordidega). Näiteks HTTP, FTP, SSH, SMTP jne. Selle probleemi lahendamiseks võib kasutada Manual NAT.

Manuaalne NAT

Manual NATi omadus on selles, et peate ise looma tõlkereeglid. Selleks peate minema NAT vahekaardile Access Control Policy. Manual NAT võimaldab luua keerukamaid tõlkereegleid. Teil on saadaval järgmised väljad: Originaalne Allikas, Originaalne Sihtkoht, Originaalsed Teenused, Tõlgitud Allikas, Tõlgitud Sihtkoht, Tõlgitud Teenused.

Siin on samuti võimalikud kaks tüüpi NAT - Hide ja Static.

1. Manual Hide NAT

Hide NATi võib antud juhul kasutada erinevates olukordades. Siin on mõned näited:

Kui pöördute mõne konkreetse ressursi poole kohalikust võrgust, soovite kasutada teist aadressi tõlkimiseks (erinevat sellest, mida kasutatakse kõigi ülejäänud juhtumite puhul).
Kohalikus võrgus on tohutult palju arvuteid. Automatic Hide NAT siin ei sobi, kuna sellise seadistuse puhul on võimalik kasutada vaid ühte avalikku IP-aadressi, mille taha “peidavad” ennast arvutid. Tõlkimiseks ei pruugi lihtsalt piisata portidest. Nagu te mäletate, on neid veidi üle 65 tuhande. Iga arvuti võib samal ajal genereerida sadu seansse. Manual Hide NAT võimaldab väljendada avalike aadresside palli väljas Tõlgitud Allikas. IP-aadresse. Sellega suurendades võimalike NAT-tõlgete arvu.

2. Manual Static NAT

Static NAT kasutatakse sagedamini käsitsi loodud tõlke reeglite korral. Klassikaline näide on portide edasi suunamine. Juhtum, kus välisest võrgust pöördutakse avaliku IP-aadressi (mis võib kuuluda pääsupunktile) määratud sadama kaudu ning päring tõlgitakse sisemisele ressursile. Meie laboritöös suuname 80. sadama DMZ serverisse.

Videokursus

Jätkake jälgimist ja liituge meie YouTube'i kanaliga 🙂

Allikas: habr.com