Üdvözöljük a 8. leckén! Ez a lecke nagyon fontos, mert a befejezésével már be tudja állítani az internetkapcsolatot a felhasználói számára! Be kell vallanom, hogy sokan itt befejezik a beállítást 🙂 De mi nem tartozunk közéjük! Még sok érdekes dolog vár ránk. Most pedig térjünk a lecke témájához.
Ahogy valószínűleg már kitalálták, ma a NAT-ról fogunk beszélni. Biztos vagyok benne, hogy mindenki, aki ezt a leckét nézi, tudja, mi az a NAT. Ezért nem fogunk részletesen kitérni arra, hogyan működik. Csak ismét megjegyzem, hogy a NAT a címek fordítása, amelyet a „fehér”, azaz nyilvános IP-címek (azok a címek, amelyek az Interneten routerezve vannak) megtakarítása céljából találtak ki.
Az előző leckében valószínűleg már észrevette, hogy a NAT része az Access Control politikának. Ez nagyon logikus. A SmartConsole-ban a NAT beállításai külön fülre kerültek. Ma mindenképpen benézünk oda. Összességében ebben a leckében a NAT típusait fogjuk megbeszélni, beállítjuk az internetkapcsolatot, és megvizsgálunk egy klasszikus példát a port forwardinggal kapcsolatban. Azaz, azt a funkciót, amelyet a vállalatok leggyakrabban használnak. Kezdjük el.
Két NAT beállítási mód
A Check Point két NAT beállítási módot támogat: Automatikus NAT és Manuális NAT. Mindkét módszerhez kétféle fordítás tartozik: Rejtett NAT és Statikus NAT. Általános formában ez az alábbi kép szerint néz ki:
Értem, hogy most valószínűleg minden elég bonyolultnak tűnik, ezért nézzük meg mindegyik típust kicsit részletesebben.
Automatikus NAT
Ez a leggyorsabb és legegyszerűbb mód. A NAT beállítása szó szerint két kattintással elvégezhető. Csak annyit kell tennie, hogy megnyitja a megfelelő objektum (legyen az átjáró, hálózat, hoszt stb.) tulajdonságait, átkattint a NAT fülre, és bepipálja a “Automatikus címfordító szabályok hozzáadása” opciót. Itt találja az átviteli mód mezőt is. Mint már említettük, kettő van belőle.
1. Automatikus Rejtett NAT
Alapértelmezés szerint ez a Rejtett. Azaz ebben az esetben a hálózatunk „elrejtőzik” egy bizonyos nyilvános IP-cím mögött. Az IP-cím az átjáró külső interfészéről is származhat, vagy meg lehet adni egy másikat. Ezt a NAT típust gyakran dinamikusnak is nevezik, vagy sok-az-egyhez, mivel több belső cím egy külső címre van átkonfigurálva. Természetesen ez lehetséges különböző portok használatával az átkonfigurálás során. A Hide NAT csak egy irányban működik (bentről kifelé), és tökéletesen alkalmas helyi hálózatokhoz, amikor egyszerűen csak internetkapcsolatot kell biztosítani. Ha a forgalmat a külső hálózat kezdeményezi, a NAT természetesen nem fog működni. Tehát ez egyfajta extra védelmet nyújt a belső hálózatok számára.
2. Automatikus Statikus NAT
A Hide NAT mind szempontból jó, de lehet, hogy hozzáférést kell biztosítani a külső hálózatból valamilyen belső szerverhez. Például egy DMZ-szerverhez, ahogyan a példánkban is. Ebben az esetben a Statikus NAT segíthet. Ez is meglehetősen könnyen beállítható. Elég, ha az objektum tulajdonságaiban megváltoztatja az átkonfigurálás módját Statikusra, és megadja a nyilvános IP-címet, amelyet a NAT használni fog (lásd a fenti képet). Tehát, ha valaki a külső hálózatból erre a címre lép (bármely porton!), akkor a kérés átirányításra kerül a már belső IP-címmel rendelkező szerverre. Ezenkívül, ha maga a szerver internetre lép, akkor az IP-címe is megváltozik arra a címre, amelyet megadtunk. Ez tehát NAT mindkét irányban. Ezt még úgy is nevezik, egy az egyben és néha nyilvános szerverekhez használják. Miért „néha”? Mert van egy nagy hátránya — a nyilvános IP-cím teljesen elfoglalt (minden port). Nem lehet egy nyilvános címet több különböző belső szerverhez (különböző portokkal) használni. Például HTTP, FTP, SSH, SMTP stb. E problémát a Kézi NAT megoldhatja.
Manuális NAT
A Kézi NAT sajátossága, hogy önállóan kell létrehozni az átkonfigurálás szabályait. Ugyanabban a NAT fül alatt az Access Control Policy menüben. A Kézi NAT lehetővé teszi, hogy bonyolultabb átkonfigurálási szabályokat hozzon létre. Az alábbi mezők állnak rendelkezésre: Eredeti forrás, Eredeti cél, Eredeti szolgáltatások, Átjárás alsó forrás, Átjárás alatti cél, Átjárás alatti szolgáltatások.
Itt szintén két típusú NAT lehetséges — Hide és Statikus.
1. Kézi Elrejtett NAT
A Hide NAT ebben az esetben különböző helyzetekben használható. Néhány példa:
- Amikor egy adott forráshoz fordul a helyi hálózatból, szeretne más címet használni az átkonfiguráláshoz (eltérően attól, amelyet minden más esetben használ).
- A helyi hálózaton hatalmas számú számítógép található. Az Automatic Hide NAT nem lesz megfelelő, mivel ilyen beállítással csak egy nyilvános IP-cím állítható be, amely mögött a számítógépek "elbújhatnak". A portok a NAT fordításhoz egyszerűen nem elegendőek. Mint tudjuk, ebből kicsit több mint 65 ezer van. Ezenkívül minden számítógép több száz munkamenetet generálhat. A Manual Hide NAT lehetővé teszi, hogy a Translated Source mezőben nyilvános címek csoportja álljon be. IP-címek. Ezzel növelve a lehetséges NAT-fordítások számát.
2. Manual Static NAT
A Static NAT sokkal gyakrabban használatos a fordítási szabályok manuális létrehozásakor. Klasszikus példa a porttovábbítás. Az eset, amikor a külső hálózat egy nyilvános IP-címre hivatkozik (amely a átjáróhoz tartozhat) egy bizonyos porton, és a kérés átirányításra kerül egy belső erőforrásra. A laboratóriumi munkánk során az 80 portot a DMZ szerverhez fogjuk továbbítani.
Oktatóvideó
Maradjatok velünk további információkért, és csatlakozzatok a A végén én, egy egyszerű szellemi munkás, váratlanul hős lettem ennek a menő csatornának a történetében!
Forrás: habr.com
