Salve! Benvenuto alla quinta lezione del corso . Su Abbiamo esaminato il funzionamento delle politiche di sicurezza. È ora di consentire l'accesso a Internet ai utenti locali. In questa lezione, discuteremo il funzionamento del meccanismo NAT.
Oltre a permettere agli utenti di accedere a Internet, esamineremo anche il metodo di pubblicazione dei servizi interni. Di seguito è presente una breve teoria dal video, insieme alla lezione video stessa.
La tecnologia NAT (Network Address Translation) è un meccanismo di traduzione degli indirizzi IP nei pacchetti di rete. In termini di Fortinet, il NAT è diviso in due tipi: Source NAT e Destination NAT.
I nomi parlano da soli: con Source NAT si modifica l'indirizzo sorgente, mentre con Destination NAT si modifica l'indirizzo di destinazione.
Inoltre, ci sono diverse opzioni per la configurazione del NAT: Firewall Policy NAT e Central NAT.
Quando si utilizza la prima opzione, Source e Destination NAT devono essere configurati per ogni politica di sicurezza. In questo caso, Source NAT utilizza l'indirizzo IP dell'interfaccia in uscita o un IP Pool preconfigurato. Destination NAT utilizza un oggetto preconfigurato (il cosiddetto VIP — Virtual IP) come indirizzo di destinazione.
Con Central NAT, la configurazione di Source e Destination NAT viene eseguita per l'intero dispositivo (o dominio virtuale). In questo caso, i parametri NAT si applicano a tutte le politiche, a seconda delle regole di Source NAT e Destination NAT.
Le regole di Source NAT vengono configurate nella politica centrale di Source NAT. Destination NAT viene configurato attraverso il menu DNAT utilizzando indirizzi IP.
In questa lezione, esamineremo solo il Firewall Policy NAT: come dimostra la pratica, questa opzione di configurazione è molto più comune rispetto al Central NAT.
Come ho già detto, nella configurazione del Firewall Policy Source NAT ci sono due opzioni di configurazione: sostituire l'indirizzo IP con l'indirizzo dell'interfaccia in uscita o con un indirizzo IP di un pool preconfigurato. Appare più o meno come mostrato nell'immagine sottostante. In seguito, discuterò brevemente sui possibili pool, ma nella pratica esamineremo solo l'opzione con l'indirizzo dell'interfaccia in uscita — nei nostri modelli i pool di indirizzi IP non ci servono.
Un pool IP definisce uno o più indirizzi IP che verranno utilizzati come indirizzo sorgente durante la sessione. Questi indirizzi IP saranno utilizzati al posto dell'indirizzo IP dell'interfaccia in uscita di FortiGate.
Esistono 4 tipi di pool IP che possono essere configurati su FortiGate:
- Sovraccarico
- Uno a uno
- Intervallo di porte fisso
- Allocazione di blocchi di porte
Il sovraccarico è il pool IP principale. Gli indirizzi IP vengono convertiti secondo uno schema da molti a uno o da molti a più. Viene inoltre utilizzata la traslazione delle porte. Consideriamo lo schema riportato nell'immagine seguente. Abbiamo un pacchetto con determinati campi di origine e destinazione. Quando si trova sotto la politica del firewall che consente l'accesso a questo pacchetto alla rete esterna, viene applicata una regola NAT. Di conseguenza, nel pacchetto il campo di origine viene sostituito con uno degli indirizzi IP indicati nel pool IP.
Nel pool di tipo Uno a Uno viene anche definito un insieme di indirizzi IP esterni. Quando un pacchetto rientra sotto la politica del firewall con la regola NAT attivata, l'indirizzo IP nel campo di origine viene cambiato in uno degli indirizzi appartenenti a questo pool. La sostituzione avviene secondo la regola "primo arrivato, primo servito". Per chiarire, consideriamo un esempio.
Un computer della rete locale con indirizzo IP 192.168.1.25 invia un pacchetto alla rete esterna. Esso rientra sotto la regola NAT, e il campo di origine viene cambiato nel primo indirizzo IP del pool, nel nostro caso è 83.235.123.5. Va notato che con questo pool IP non viene utilizzata la traslazione delle porte. Se successivamente un computer della stessa rete locale, con indirizzo, diciamo, 192.168.1.35 invia un pacchetto alla rete esterna e rientra nuovamente sotto questa regola NAT, l'indirizzo IP nel campo di origine di questo pacchetto verrà cambiato in 83.235.123.6. Se non ci sono più indirizzi nel pool, le successive connessioni verranno rifiutate. In questo caso, sotto la nostra regola NAT possono rientrare contemporaneamente 4 computer.
L'Intervallo di porte fisso collega tra loro gli intervalli di indirizzi IP interni ed esterni. Anche la traslazione delle porte è disabilitata. Questo consente di collegare fissi l'inizio o la fine del pool di indirizzi IP interni con l'inizio o la fine del pool di indirizzi IP esterni. Nell'esempio riportato qui sotto, il pool interno di indirizzi 192.168.1.25 – 192.168.1.28 è messo in corrispondenza con il pool esterno di indirizzi 83.235.123.5 – 83.235.125.8.
L'Allocazione di blocchi di porte — questo pool IP viene utilizzato per assegnare un blocco di porte agli utenti del pool IP. Oltre al pool IP stesso, qui devono essere specificati anche due parametri: la dimensione del blocco e il numero di blocchi assegnati a ciascun utente.
Ora esaminiamo la tecnologia Destination NAT. Essa si basa su indirizzi IP virtuali (VIP). I pacchetti che rientrano nelle regole del Destination NAT subiscono una modifica dell'indirizzo IP nel campo Destination: in genere, l'indirizzo pubblico di Internet viene sostituito con l'indirizzo privato del server. Gli indirizzi IP virtuali vengono utilizzati nelle politiche di firewall come campo Destination.
Il tipo standard di indirizzi IP virtuali è lo Static NAT. Questo corrisponde a un rapporto uno a uno tra indirizzi esterni e interni.
Invece dello Static NAT, gli indirizzi virtuali possono essere limitati al port forwarding su porte specifiche. Ad esempio, le connessioni a un indirizzo esterno sulla porta 8080 possono essere associate a una connessione a un indirizzo IP interno sulla porta 80.
Nell'esempio riportato di seguito, un computer con indirizzo 172.17.10.25 tenta di accedere all'indirizzo 83.235.123.20 sulla porta 80. Questa connessione rientra nella regola DNAT, pertanto l'indirizzo IP di destinazione viene modificato in 10.10.10.10.
Nel video viene discussa la teoria e vengono forniti esempi pratici di configurazione di Source e Destination NAT.
Nelle prossime lezioni passeremo alla sicurezza degli utenti su Internet. In particolare, nella prossima lezione esamineremo le funzionalità di web filtering e application control. Per non perdere questo appuntamento, seguite gli aggiornamenti sui prossimi canali:
Fonte: habr.com
