🥇8. Check Point Getting Started R80.20. NAT

Benvenuti all'ottavo lezione. Questa lezione è molto importante, perché al termine sarete in grado di configurare l'accesso a Internet per i vostri utenti! Va detto che molti si fermano qui nella configurazione 🙂 Ma noi non siamo come loro! Abbiamo ancora molte cose interessanti da affrontare. E ora, passiamo all'argomento della nostra lezione.

Come avrete già intuito, oggi parleremo di NAT. Sono sicuro che tutti coloro che guardano questa lezione sanno cosa sia il NAT. Pertanto, non ci soffermeremo a spiegare come funziona. Ripeto solo che il NAT è una tecnologia di traduzione degli indirizzi, ideata per risparmiare sui 'pubblici', cioè sugli indirizzi IP (quelli che vengono instradati su Internet).

Nella lezione precedente, avrete già notato che il NAT fa parte della politica di Controllo Accessi. È abbastanza logico. In SmartConsole, le impostazioni del NAT sono presenti in una scheda separata. Oggi ci daremo sicuramente un'occhiata. In questa lezione discuteremo i tipi di NAT, configureremo l'accesso a Internet e vedremo un esempio classico di port forwarding. Cioè, quella funzionalità che viene utilizzata più spesso nelle aziende. Iniziamo.

Due modi per configurare il NAT

Check Point supporta due modi per configurare il NAT: NAT automatico e NAT manuale. Per ciascuno di questi metodi ci sono due tipi di traduzione: Hide NAT e Static NAT. In generale, si presenta come nell'immagine seguente:

Capisco che probabilmente sembra tutto piuttosto complicato adesso, quindi esaminiamo ogni tipo più nel dettaglio.

NAT automatico

Questo è il modo più veloce e semplice. La configurazione del NAT avviene letteralmente in due clic. Tutto ciò che è necessario fare è aprire le proprietà dell'oggetto desiderato (che sia un gateway, una rete, un host, ecc.), passare alla scheda NAT e selezionare l'opzione “Aggiungi regole di traduzione automatica degli indirizzi”. Qui vedrete anche il campo — metodo di traduzione. Come già accennato, ce ne sono due.

1. Automatic Hide NAT

Per impostazione predefinita è Hide. Cioè, in questo caso, la nostra rete sarà “nascosta” dietro un indirizzo IP pubblico. Quest'ultimo può essere prelevato dall'interfaccia esterna del gateway, oppure si può indicare un altro indirizzo. Questo tipo di NAT è spesso definito dinamico o many-to-one, poiché più indirizzi interni vengono tradotti in un univoco esterno. Ovviamente, ciò è possibile utilizzando porte diverse durante la traduzione. L'Hide NAT funziona solo in un'unica direzione (da interno a esterno) ed è perfetto per le reti locali, quando è necessario semplicemente garantire l'accesso a Internet. Se il traffico viene iniziato da una rete esterna, il NAT, naturalmente, non funzionerà. Si ottiene così una protezione aggiuntiva per le reti interne.

2. NAT Statico Automatico

Il NAT nascosto è ottimo, ma potrebbe essere necessario garantire l'accesso a un server interno dalla rete esterna. Ad esempio, a un server DMZ, come nel nostro caso. In questo caso, il Static NAT può aiutare. Anche questo è molto semplice da configurare. Basta cambiare il metodo di traduzione nelle proprietà dell'oggetto in Static e specificare l'indirizzo IP pubblico che verrà utilizzato per il NAT (vedi immagine sopra). Quindi, se qualcuno dalla rete esterna si collega a questo indirizzo (su qualsiasi porta!), la richiesta verrà inoltrata al server con l'indirizzo IP interno. Inoltre, se il server stesso si connetterà a Internet, il suo indirizzo IP cambierà in quello che abbiamo specificato. Quindi, questo è un NAT bidirezionale. A volte è chiamato one-to-one e talvolta è utilizzato per i server pubblici. Perché “a volte”? Perché ha un grande svantaggio: l'indirizzo IP pubblico è completamente occupato (tutte le porte). Non è possibile utilizzare un singolo indirizzo pubblico per diversi server interni (con porte diverse). Ad esempio, HTTP, FTP, SSH, SMTP, ecc. Questo problema può essere risolto con il Manual NAT.

NAT manuale

La caratteristica del Manual NAT è che è necessario creare manualmente le regole di traduzione. Nella stessa scheda NAT nella Politica di Controllo degli Accessi. Inoltre, il Manual NAT consente di creare regole di traduzione più complesse. Sono disponibili i seguenti campi: Original Source, Original Destination, Original Services, Translated Source, Translated Destination, Translated Services.

Sono possibili due tipi di NAT: Hide e Static.

1. Manual Hide NAT

In questo caso, Hide NAT può essere utilizzato in diverse situazioni. Ecco alcuni esempi:

Quando si accede a una risorsa specifica dalla rete locale, si desidera utilizzare un indirizzo diverso per la traduzione (diverso da quello utilizzato in tutti gli altri casi).
Nella rete locale ci sono un numero enorme di computer. Automatic Hide NAT qui non è adatto, poiché con questa configurazione è possibile assegnare solo un indirizzo IP pubblico, dietro il quale si 'nasconderanno' i computer. Le porte per la traduzione potrebbero non essere sufficienti. Come ricorderete, ce ne sono poco più di 65.000. Ogni computer può generare centinaia di sessioni. Il Manual Hide NAT consente di impostare nel campo Translated Source un pool di indirizzi pubblici. indirizzi ip. In questo modo, aumentano le possibili traduzioni NAT.

2. Manual Static NAT

Lo Static NAT è utilizzato molto più frequentemente nella creazione manuale delle regole di traduzione. Un esempio classico è il port forwarding. È il caso in cui si accede da una rete esterna a un indirizzo IP pubblico (che può appartenere a un gateway) su una porta specifica e la richiesta viene tradotta a una risorsa interna. Nella nostra esercitazione di laboratorio, effettueremo il forwarding della porta 80 verso un server DMZ.