🥇8. Check Point Getting Started R80.20. NAT

Benvenuti all'ottava lezione. Questa lezione è molto importante, perché al termine sarete in grado di configurare l'accesso a Internet per i vostri utenti! Devo ammettere che molti terminano qui la loro configurazione 🙂 Ma noi non siamo tra loro! Abbiamo ancora molte cose interessanti davanti a noi. Ora passiamo all'argomento della nostra lezione.

Come avrete già intuito, oggi parleremo di NAT. Sono sicuro che tutti coloro che guardano questa lezione sanno cosa sia il NAT. Pertanto, non ci soffermeremo a spiegare in dettaglio come funziona. Mi limiterò a ripetere ancora una volta che il NAT è una tecnologia di traduzione degli indirizzi, ideata per risparmiare indirizzi IP “pubblici”, cioè quegli indirizzi che vengono instradati nella rete Internet.

Nella lezione precedente avrete probabilmente notato che il NAT fa parte della politica di Access Control. Questo è piuttosto logico. In SmartConsole, le impostazioni del NAT sono state spostate in una scheda separata. Oggi daremo un'occhiata a quella scheda. In generale, in questa lezione discuteremo i tipi di NAT, imposteremo l'accesso a Internet e vedremo un esempio classico di port forwarding. Ovvero, quella funzionalità che è più comunemente utilizzata nelle aziende. Procediamo.

Due modi per configurare il NAT

Check Point supporta due modalità di configurazione del NAT: NAT automatico e NAT manuale. Per ciascuno di questi metodi ci sono due tipi di traduzione: Hide NAT e Static NAT. In generale, si presenta come nell'immagine seguente:

Capisco che probabilmente tutto ciò possa sembrare piuttosto complicato, quindi esaminiamo ogni tipo un po' più nel dettaglio.

NAT automatico

Questo è il modo più rapido e semplice. La configurazione del NAT avviene in sostanza in due clic. Tutto ciò che è necessario fare è aprire le proprietà dell'oggetto desiderato (che si tratti di un gateway, di una rete, di un host, ecc.), passare alla scheda NAT e selezionare la casella “Aggiungi regole di traduzione automatica degli indirizzi”. Qui vedrete anche il campo — metodo di traduzione. Ce ne sono, come già detto sopra, due.

1. NAT automatico Hide

Di default è Hide. Cioè, in questo caso, la nostra rete si “nasconderà” dietro un qualche indirizzo IP pubblico. L'indirizzo può essere preso dall'interfaccia esterna del gateway oppure è possibile specificarne un altro. Questo tipo di NAT è spesso chiamato dinamico o many-to-one, poiché più indirizzi interni vengono tradotti in un unico indirizzo esterno. Naturalmente questo è possibile grazie all'utilizzo di porte diverse durante la traduzione. L'Hide NAT funziona solo in un'unica direzione (da interno a esterno) ed è ideale per le reti locali quando è sufficiente garantire l'accesso a Internet. Se il traffico viene avviato da una rete esterna, il NAT naturalmente non funzionerà. Si tratta quindi di una ulteriore protezione delle reti interne.

2. NAT Statico Automatico

L'Hide NAT è ottimo, ma potrebbe essere necessario garantire l'accesso da una rete esterna a un server interno. Ad esempio, a un server DMZ, come nel nostro caso. In questo caso, il NAT Statico può aiutarci. È piuttosto semplice da configurare. Basta cambiare il metodo di traduzione nelle proprietà dell'oggetto in Statico e indicare l'indirizzo IP pubblico che verrà utilizzato per il NAT (vedi immagine sopra). Cioè, se qualcuno della rete esterna si collega a questo indirizzo (su qualsiasi porta!), la richiesta sarà reindirizzata al server con l'indirizzo IP interno già assegnato. Se il server stesso si connetterà a Internet, il suo indirizzo IP cambierà anche in quello che abbiamo indicato. Cioè, questo è un NAT bidirezionale. È anche chiamato one-to-one e a volte usato per server pubblici. Perché “a volte”? Perché ha un grande svantaggio: l'indirizzo IP pubblico è completamente occupato (tutte le porte). Non è possibile utilizzare un solo indirizzo pubblico per diversi server interni (con porte diverse). Ad esempio HTTP, FTP, SSH, SMTP, ecc. Questa problematica può essere risolta tramite il Manual NAT.

NAT manuale

La caratteristica del Manual NAT è che è necessario creare manualmente le regole di traduzione. Nella scheda NAT nella Politica di Controllo Accessi. Il Manual NAT consente di creare regole di traduzione più complesse. Sono disponibili campi come: Origine Originale, Destinazione Originale, Servizi Originali, Origine Tradotta, Destinazione Tradotta, Servizi Tradotti.

Qui sono possibili due tipi di NAT: Hide e Statico.

1. Manual Hide NAT

L'Hide NAT in questo caso può essere utilizzato in diverse situazioni. Ecco due esempi:

Quando ci si collega a una risorsa specifica dalla rete locale, si desidera utilizzare un altro indirizzo per la traduzione (diverso da quello utilizzato per tutti gli altri casi).
In una rete locale ci sono un numero enorme di computer. Automatic Hide NAT non è adatto qui, poiché con questa configurazione è possibile assegnare solo un indirizzo IP pubblico, dietro cui si “nascondono” i computer. Potrebbero semplicemente non esserci abbastanza porte per la traduzione. Ce ne sono, come ricorderete, poco più di 65 mila. Inoltre, ogni computer può generare centinaia di sessioni. Manual Hide NAT consente di impostare un pool di indirizzi pubblici nel campo Translated Source. di indirizzi IPIn questo modo si aumenta il numero possibile di traduzioni NAT.

2. Manual Static NAT

Static NAT è utilizzato molto più frequentemente nella creazione manuale delle regole di traduzione. Un esempio classico è il port forwarding. Si tratta di un caso in cui una rete esterna accede a un indirizzo IP pubblico (che potrebbe appartenere a un gateway) su una porta specifica e la richiesta viene tradotta su una risorsa interna. Nella nostra attività di laboratorio, eseguiremo il port forwarding della porta 80 verso un server DMZ.