Benvenuti! Benvenuti alla quinta lezione del corso . Su abbiamo discusso il funzionamento delle politiche di sicurezza. Ora è tempo di consentire l'accesso a Internet agli utenti locali. In questa lezione, esamineremo il funzionamento del meccanismo NAT.
Oltre a consentire l'accesso a Internet agli utenti, esamineremo anche il metodo di pubblicazione dei servizi interni. In calce trovate una breve teoria dal video e il video stesso.
La tecnologia NAT (Network Address Translation) è un meccanismo che effettua la traduzione degli indirizzi IP nei pacchetti di rete. In termini di Fortinet, il NAT si divide in due tipi: Source NAT e Destination NAT.
I nomi parlano da soli: con il Source NAT si modifica l'indirizzo di origine, mentre con il Destination NAT si modifica l'indirizzo di destinazione.
Inoltre, ci sono diverse opzioni di configurazione per il NAT: Firewall Policy NAT e Central NAT.
Quando si utilizza il primo tipo, Source e Destination NAT devono essere configurati per ogni politica di sicurezza. In questo caso, il Source NAT utilizza l'indirizzo IP dell'interfaccia di uscita o un pool IP preconfigurato. Il Destination NAT utilizza un oggetto preconfigurato (detto VIP - Virtual IP) come indirizzo di destinazione.
Con l'utilizzo di Central NAT, la configurazione di Source e Destination NAT viene effettuata immediatamente per l'intero dispositivo (o dominio virtuale). In questo caso, i parametri NAT si applicano a tutte le politiche, in base alle regole di Source NAT e Destination NAT.
Le regole di Source NAT vengono configurate nella politica centrale di Source NAT. Il Destination NAT è configurato dal menu DNAT utilizzando indirizzi IP.
In questa lezione, ci concentreremo solo su Firewall Policy NAT: come dimostra l'esperienza, questa opzione di configurazione è molto più comune rispetto a Central NAT.
Come ho già detto, nella configurazione di Firewall Policy Source NAT ci sono due opzioni di impostazione: sostituire l'indirizzo IP con l'indirizzo dell'interfaccia di uscita, oppure con un indirizzo IP da un pool preimpostato. Questo è mostrato nell'immagine sottostante. Successivamente, fornirò una breve panoramica dei pool disponibili, ma in pratica considereremo solo l'opzione con l'indirizzo dell'interfaccia di uscita: nei nostri layout, i pool di indirizzi IP non ci servono.
Il pool IP definisce uno o più indirizzi IP che verranno utilizzati come indirizzo sorgente durante la sessione. Questi indirizzi IP saranno utilizzati al posto dell'indirizzo IP dell'interfaccia di uscita di FortiGate.
Esistono 4 tipi di pool IP che possono essere configurati su FortiGate:
- Overload
- One-to-one
- Intervallo di porte fisso
- Assegnazione di blocchi di porte
Overload è il pool IP principale. In esso gli indirizzi IP vengono trasformati secondo uno schema molti a uno o molti a molti. Viene utilizzata anche la traduzione delle porte. Consideriamo lo schema indicato nell'immagine sottostante. Abbiamo un pacchetto con determinati campi Source e Destination. Quando questo pacchetto colpisce una policy del firewall che gli consente di accedere alla rete esterna, viene applicata una regola NAT. Di conseguenza, nel pacchetto, il campo Source viene sostituito con uno degli indirizzi IP elencati nel pool IP.
Nel pool di tipo One to One viene anche definito un insieme di indirizzi IP esterni. Quando un pacchetto colpisce una policy del firewall con la regola NAT abilitata, l'indirizzo IP nel campo Source viene cambiato con uno degli indirizzi appartenenti a questo pool. La sostituzione avviene secondo la regola — 'primo arrivato, primo servito'. Per chiarire, consideriamo un esempio.
Un computer della rete locale con indirizzo IP 192.168.1.25 invia un pacchetto verso la rete esterna. Questo è soggetto alla regola NAT e il campo Source viene modificato con il primo indirizzo IP del pool, in questo caso 83.235.123.5. È importante notare che, utilizzando questo pool di IP, la traduzione delle porte non viene utilizzata. Se, successivamente, un computer della stessa rete locale, con un indirizzo, ad esempio, 192.168.1.35, invia un pacchetto verso la rete esterna e rientra anche in questa regola NAT, l'indirizzo IP nel campo Source di quel pacchetto verrà modificato in 83.235.123.6. Se non ci sono più indirizzi nel pool, le connessioni successive verranno rifiutate. In questo caso, il nostro regola NAT può coprire contemporaneamente 4 computer.
Il Range di Porte Fisse collega tra loro gli intervalli di indirizzi IP interni ed esterni. Anche la traduzione delle porte è disattivata. Questo consente di associare in modo fisso l'inizio o la fine del pool di indirizzi IP interni con l'inizio o la fine del pool di indirizzi IP esterni. Nell'esempio riportato di seguito, il pool interno di indirizzi 192.168.1.25 – 192.168.1.28 è abbinato al pool esterno di indirizzi 83.235.123.5 – 83.235.125.8.
Assegnazione del blocco di porte — questo pool IP è utilizzato per allocare un blocco di porte per gli utenti del pool IP. Oltre al pool IP stesso, devono essere specificati anche due parametri: la dimensione del blocco e il numero di blocchi allocati per ciascun utente.
Esaminiamo ora la tecnologia Destination NAT. Essa si basa sugli indirizzi IP virtuali (VIP). Per i pacchetti che rientrano nelle regole di Destination NAT, l'indirizzo IP nel campo Destination viene modificato: di solito, l'indirizzo internet pubblico viene sostituito con l'indirizzo privato del server. Gli indirizzi IP virtuali sono utilizzati nelle politiche di firewall come campo Destination.
Il tipo standard di indirizzi IP virtuali è il Static NAT. Ciò implica una corrispondenza uno a uno tra indirizzi esterni e interni.
Invece del Static NAT, gli indirizzi virtuali possono essere limitati con il port forwarding di porte specifiche. Ad esempio, le connessioni a un indirizzo esterno sulla porta 8080 possono essere associate a una connessione a un indirizzo IP interno sulla porta 80.
Nell'esempio riportato di seguito, un computer con indirizzo 172.17.10.25 sta tentando di accedere all'indirizzo 83.235.123.20 sulla porta 80. Questa connessione è soggetta alla regola DNAT, quindi l'indirizzo IP di destinazione viene modificato in 10.10.10.10.
Nel video viene trattata la teoria e vengono forniti esempi pratici sulla configurazione di Source e Destination NAT.
Nei prossimi capitoli passeremo a garantire la sicurezza degli utenti su Internet. In particolare, nel prossimo capitolo tratteremo le funzionalità di filtraggio web e controllo delle applicazioni. Per non perderlo, segui gli aggiornamenti sui canali seguenti:
Fonte: habr.com
