5. फोर्टिनेट प्रारंभ करना v6.0। नेट

अभिवादन! पाठ्यक्रम के पांचवें पाठ में आपका स्वागत है फोर्टिनेट प्रारंभ हो रहा है. पर अंतिम पाठ हमने यह पता लगा लिया है कि सुरक्षा नीतियां कैसे काम करती हैं। अब समय आ गया है कि स्थानीय उपयोगकर्ताओं को इंटरनेट पर छोड़ा जाए। ऐसा करने के लिए, इस पाठ में हम NAT तंत्र के संचालन को देखेंगे।
उपयोगकर्ताओं को इंटरनेट से मुक्त करने के अलावा, हम आंतरिक सेवाओं को प्रकाशित करने की एक विधि पर भी गौर करेंगे। कट के नीचे वीडियो का एक संक्षिप्त सिद्धांत है, साथ ही वीडियो पाठ भी है।
NAT (नेटवर्क एड्रेस ट्रांसलेशन) तकनीक नेटवर्क पैकेट के आईपी पते को परिवर्तित करने के लिए एक तंत्र है। फोर्टिनेट के संदर्भ में, NAT को दो प्रकारों में विभाजित किया गया है: स्रोत NAT और गंतव्य NAT।

नाम स्वयं बोलते हैं - स्रोत NAT का उपयोग करते समय, स्रोत का पता बदल जाता है, गंतव्य NAT का उपयोग करते समय, गंतव्य का पता बदल जाता है।

इसके अलावा, NAT - फ़ायरवॉल पॉलिसी NAT और सेंट्रल NAT स्थापित करने के लिए भी कई विकल्प हैं।

पहले विकल्प का उपयोग करते समय, प्रत्येक सुरक्षा नीति के लिए स्रोत और गंतव्य NAT को कॉन्फ़िगर किया जाना चाहिए। इस मामले में, स्रोत NAT या तो आउटगोइंग इंटरफ़ेस के आईपी पते या पूर्व-कॉन्फ़िगर आईपी पूल का उपयोग करता है। गंतव्य NAT गंतव्य पते के रूप में एक पूर्व-कॉन्फ़िगर ऑब्जेक्ट (तथाकथित वीआईपी - वर्चुअल आईपी) का उपयोग करता है।

सेंट्रल NAT का उपयोग करते समय, स्रोत और गंतव्य NAT कॉन्फ़िगरेशन एक ही बार में संपूर्ण डिवाइस (या वर्चुअल डोमेन) के लिए किया जाता है। इस मामले में, स्रोत NAT और गंतव्य NAT नियमों के आधार पर, NAT सेटिंग्स सभी नीतियों पर लागू होती हैं।

स्रोत NAT नियम केंद्रीय स्रोत NAT नीति में कॉन्फ़िगर किए गए हैं। गंतव्य NAT को IP पते का उपयोग करके DNAT मेनू से कॉन्फ़िगर किया गया है।

इस पाठ में, हम केवल फ़ायरवॉल नीति NAT पर विचार करेंगे - जैसा कि अभ्यास से पता चलता है, यह कॉन्फ़िगरेशन विकल्प सेंट्रल NAT की तुलना में बहुत अधिक सामान्य है।

जैसा कि मैंने पहले ही कहा, फ़ायरवॉल नीति स्रोत NAT को कॉन्फ़िगर करते समय, दो कॉन्फ़िगरेशन विकल्प होते हैं: आईपी पते को आउटगोइंग इंटरफ़ेस के पते के साथ बदलना, या आईपी पते के पूर्व-कॉन्फ़िगर पूल से आईपी पते के साथ बदलना। यह कुछ-कुछ वैसा ही दिखता है जैसा नीचे चित्र में दिखाया गया है। आगे, मैं संभावित पूलों के बारे में संक्षेप में बात करूंगा, लेकिन व्यवहार में हम केवल आउटगोइंग इंटरफ़ेस के पते वाले विकल्प पर विचार करेंगे - हमारे लेआउट में, हमें आईपी एड्रेस पूल की आवश्यकता नहीं है।

एक आईपी पूल एक या अधिक आईपी पते को परिभाषित करता है जिनका उपयोग एक सत्र के दौरान स्रोत पते के रूप में किया जाएगा। इन आईपी पतों का उपयोग फोर्टीगेट आउटगोइंग इंटरफ़ेस आईपी पते के बजाय किया जाएगा।

4 प्रकार के आईपी पूल हैं जिन्हें फोर्टीगेट पर कॉन्फ़िगर किया जा सकता है:

• अधिभार
• एक से एक
• निश्चित पोर्ट रेंज
• पोर्ट ब्लॉक आवंटन

ओवरलोड मुख्य आईपी पूल है। यह अनेक-से-एक या अनेक-से-अनेक योजना का उपयोग करके आईपी पते को परिवर्तित करता है। पोर्ट अनुवाद का भी उपयोग किया जाता है। नीचे दिए गए चित्र में दिखाए गए सर्किट पर विचार करें। हमारे पास परिभाषित स्रोत और गंतव्य फ़ील्ड वाला एक पैकेज है। यदि यह फ़ायरवॉल नीति के अंतर्गत आता है जो इस पैकेट को बाहरी नेटवर्क तक पहुंचने की अनुमति देता है, तो इस पर एक NAT नियम लागू किया जाता है। परिणामस्वरूप, इस पैकेट में स्रोत फ़ील्ड को आईपी पूल में निर्दिष्ट आईपी पते में से एक से बदल दिया जाता है।

वन टू वन पूल कई बाहरी आईपी पते को भी परिभाषित करता है। जब कोई पैकेट NAT नियम सक्षम होने के साथ फ़ायरवॉल नीति के अंतर्गत आता है, तो स्रोत फ़ील्ड में IP पता इस पूल से संबंधित पते में से एक में बदल जाता है। प्रतिस्थापन "पहले अंदर, पहले बाहर" नियम का पालन करता है। इसे स्पष्ट करने के लिए, आइए एक उदाहरण देखें।

आईपी ​​एड्रेस 192.168.1.25 वाला स्थानीय नेटवर्क पर एक कंप्यूटर बाहरी नेटवर्क को एक पैकेट भेजता है। यह NAT नियम के अंतर्गत आता है, और स्रोत फ़ील्ड को पूल से पहले IP पते में बदल दिया जाता है, हमारे मामले में यह 83.235.123.5 है। यह ध्यान देने योग्य है कि इस आईपी पूल का उपयोग करते समय पोर्ट ट्रांसलेशन का उपयोग नहीं किया जाता है। यदि इसके बाद उसी स्थानीय नेटवर्क से एक कंप्यूटर, मान लीजिए, 192.168.1.35 के पते के साथ, एक पैकेट को बाहरी नेटवर्क पर भेजता है और इस NAT नियम के अंतर्गत आता है, तो इस पैकेट के स्रोत फ़ील्ड में आईपी पता बदल जाएगा 83.235.123.6. यदि पूल में कोई और पता नहीं बचा है, तो बाद के कनेक्शन अस्वीकार कर दिए जाएंगे। यानी इस स्थिति में एक ही समय में 4 कंप्यूटर हमारे NAT नियम के अंतर्गत आ सकते हैं।

फिक्स्ड पोर्ट रेंज आईपी एड्रेस की आंतरिक और बाहरी रेंज को जोड़ती है। पोर्ट अनुवाद भी अक्षम है. यह आपको आंतरिक आईपी पते के पूल की शुरुआत या अंत को बाहरी आईपी पते के पूल की शुरुआत या अंत के साथ स्थायी रूप से जोड़ने की अनुमति देता है। नीचे दिए गए उदाहरण में, आंतरिक पता पूल 192.168.1.25 - 192.168.1.28 को बाहरी पता पूल 83.235.123.5 - 83.235.125.8 पर मैप किया गया है।

पोर्ट ब्लॉक आवंटन - इस आईपी पूल का उपयोग आईपी पूल उपयोगकर्ताओं के लिए पोर्ट के ब्लॉक को आवंटित करने के लिए किया जाता है। आईपी ​​​​पूल के अलावा, दो पैरामीटर भी यहां निर्दिष्ट किए जाने चाहिए - ब्लॉक आकार और प्रत्येक उपयोगकर्ता के लिए आवंटित ब्लॉक की संख्या।

अब आइए डेस्टिनेशन NAT तकनीक पर नजर डालें। यह वर्चुअल आईपी एड्रेस (वीआईपी) पर आधारित है। गंतव्य NAT नियमों के अंतर्गत आने वाले पैकेटों के लिए, गंतव्य फ़ील्ड में IP पता बदल जाता है: आमतौर पर सार्वजनिक इंटरनेट पता सर्वर के निजी पते में बदल जाता है। वर्चुअल आईपी पते का उपयोग फ़ायरवॉल नीतियों में गंतव्य फ़ील्ड के रूप में किया जाता है।

वर्चुअल आईपी पते का मानक प्रकार स्टेटिक NAT है। यह बाहरी और आंतरिक पतों के बीच एक-से-एक पत्राचार है।

स्टेटिक NAT के बजाय, विशिष्ट पोर्ट को अग्रेषित करके वर्चुअल पते को सीमित किया जा सकता है। उदाहरण के लिए, पोर्ट 8080 पर किसी बाहरी पते से कनेक्शन को पोर्ट 80 पर आंतरिक आईपी पते से कनेक्ट करें।

नीचे दिए गए उदाहरण में, 172.17.10.25 पते वाला एक कंप्यूटर पोर्ट 83.235.123.20 पर पते 80 तक पहुंचने का प्रयास कर रहा है। यह कनेक्शन DNAT नियम के अंतर्गत आता है, इसलिए गंतव्य IP पता 10.10.10.10 में बदल दिया गया है।

वीडियो सिद्धांत पर चर्चा करता है और स्रोत और गंतव्य NAT को कॉन्फ़िगर करने के व्यावहारिक उदाहरण भी प्रदान करता है।

अगले पाठों में हम इंटरनेट पर उपयोगकर्ता सुरक्षा सुनिश्चित करने के लिए आगे बढ़ेंगे। विशेष रूप से, अगला पाठ वेब फ़िल्टरिंग और एप्लिकेशन नियंत्रण की कार्यक्षमता पर चर्चा करेगा। इसे न चूकने के लिए, निम्नलिखित चैनलों पर अपडेट का पालन करें:

यूट्यूब
फेसबुक समूह
यांडेक्स ज़ेन
हमारी साइट
елеграм канал

स्रोत: www.habr.com