8. תחילת העבודה של Check Point R80.20. NAT

ברוכים הבאים לשיעור 8. השיעור חשוב מאוד, כי... בסיום, תוכל להגדיר גישה לאינטרנט עבור המשתמשים שלך! אני חייב להודות שהרבה אנשים מפסיקים להקים בשלב זה 🙂 אבל אנחנו לא אחד מהם! ועדיין יש לנו הרבה דברים מעניינים לפנינו. ועכשיו לנושא השיעור שלנו.

כפי שבטח כבר ניחשתם, היום נדבר על NAT. אני בטוח שכל מי שצופה בשיעור הזה יודע מה זה NAT. לכן, לא נתאר בפירוט כיצד זה עובד. אני רק אחזור על כך ש-NAT היא טכנולוגיית תרגום כתובות שהומצאה כדי לחסוך "כסף לבן", כלומר. כתובות IP ציבוריות (אותן כתובות המנותבות באינטרנט).

בשיעור הקודם בטח כבר שמתם לב ש-NAT הוא חלק ממדיניות בקרת הגישה. זה די הגיוני. ב-SmartConsole, הגדרות NAT ממוקמות בכרטיסייה נפרדת. בהחלט נסתכל שם היום. באופן כללי, בשיעור זה נדון בסוגי NAT, תגדיר גישה לאינטרנט ונסתכל על הדוגמה הקלאסית של העברת יציאות. הָהֵן. הפונקציונליות שבה משתמשים לרוב בחברות. בואו נתחיל.

שתי דרכים להגדיר NAT

Check Point תומך בשתי דרכים להגדיר NAT: NAT אוטומטי и NAT ידני. יתרה מכך, עבור כל אחת מהשיטות הללו ישנם שני סוגי תרגום: הסתר NAT и NAT סטטי. באופן כללי זה נראה כמו התמונה הזו:

אני מבין שככל הנראה הכל נראה מסובך מאוד עכשיו, אז בואו נסתכל על כל סוג בפירוט קטן יותר.

NAT אוטומטי

זו הדרך המהירה והקלה ביותר. הגדרת NAT מתבצעת בשתי לחיצות בלבד. כל מה שאתה צריך לעשות הוא לפתוח את המאפיינים של האובייקט הרצוי (בין אם זה שער, רשת, מארח וכו'), עבור ללשונית NAT וסמן את "הוסף כללי תרגום אוטומטי של כתובות" כאן תראה את השדה - שיטת התרגום. יש, כאמור, שניים מהם.

1. Aitomatic Hide NAT

כברירת מחדל זה הסתר. הָהֵן. במקרה זה, הרשת שלנו "תסתתר" מאחורי כתובת IP ציבורית כלשהי. במקרה זה, ניתן לקחת את הכתובת מהממשק החיצוני של השער, או שאתה יכול לציין כתובת אחרת. סוג זה של NAT נקרא לעתים קרובות דינמי או רבים לאחד, כי מספר כתובות פנימיות מתורגמות לאחת חיצונית אחת. באופן טבעי, זה אפשרי על ידי שימוש ביציאות שונות בעת שידור. Hide NAT פועל רק בכיוון אחד (מבפנים אל חוץ) ואידיאלי עבור רשתות מקומיות כאשר אתה רק צריך לספק גישה לאינטרנט. אם תעבורה מופעלת מרשת חיצונית, אז NAT כמובן לא יעבוד. מסתבר שזו הגנה נוספת לרשתות פנימיות.

2. NAT סטטי אוטומטי

הסתר NAT טוב לכולם, אבל אולי אתה צריך לספק גישה מרשת חיצונית לשרת פנימי כלשהו. לדוגמה, לשרת DMZ, כמו בדוגמה שלנו. במקרה זה, Static NAT יכול לעזור לנו. זה גם די קל להגדיר. מספיק לשנות את שיטת התרגום ל-Static במאפייני האובייקט ולציין את כתובת ה-IP הציבורית שתשמש עבור NAT (ראה את התמונה למעלה). הָהֵן. אם מישהו מהרשת החיצונית ניגש לכתובת זו (בכל יציאה!), הבקשה תועבר לשרת עם IP פנימי. יתרה מכך, אם השרת עצמו עובר לאינטרנט, ה-IP שלו ישתנה גם לכתובת שציינו. הָהֵן. זה NAT בשני הכיוונים. זה נקרא גם אחד-על-אחד ולפעמים משמש עבור שרתים ציבוריים. למה "לפעמים"? כי יש לו חיסרון אחד גדול - כתובת ה-IP הציבורית תפוסה לחלוטין (כל היציאות). אינך יכול להשתמש בכתובת ציבורית אחת עבור שרתים פנימיים שונים (עם יציאות שונות). למשל HTTP, FTP, SSH, SMTP וכו'. NAT ידני יכול לפתור בעיה זו.

NAT ידני

הייחודיות של ידני NAT ​​היא שאתה צריך ליצור כללי תרגום בעצמך. באותה לשונית NAT במדיניות בקרת גישה. במקביל, ידני NAT ​​מאפשר לך ליצור כללי תרגום מורכבים יותר. השדות הבאים זמינים עבורך: מקור מקור, יעד מקורי, שירותים מקוריים, מקור מתורגם, יעד מתורגם, שירותים מתורגמים.

ישנם גם שני סוגים של NAT אפשריים כאן - Hide ו-Static.

1. הסתר NAT ידני

הסתר NAT במקרה זה יכול לשמש במצבים שונים. כמה דוגמאות:

1. בעת גישה למשאב ספציפי מהרשת המקומית, אתה רוצה להשתמש בכתובת שידור אחרת (שונה מזו המשמשת בכל שאר המקרים).
2. יש מספר עצום של מחשבים ברשת המקומית. הסתר NAT אוטומטי לא יעבוד כאן, כי... עם הגדרה זו, ניתן להגדיר רק כתובת IP ציבורית אחת, שמאחוריה מחשבים "יתחבאו". יכול להיות שפשוט אין מספיק יציאות לשידור. יש, כזכור, קצת יותר מ-65 אלף. יתרה מכך, כל מחשב יכול ליצור מאות הפעלות. Hide NAT ידני מאפשר לך להגדיר מאגר של כתובות IP ציבוריות בשדה Translated Source. ובכך להגדיל את מספר תרגומי NAT ​​אפשריים.

2. NAT סטטי ידני

נעשה שימוש ב-NAT סטטי לעתים קרובות יותר בעת יצירת כללי תרגום באופן ידני. דוגמה קלאסית היא העברת יציאות. המקרה כאשר כתובת IP ציבורית (שעשויה להיות שייכת לשער) ניגשת מרשת חיצונית ביציאה ספציפית והבקשה מתורגמת למשאב פנימי. בעבודת המעבדה שלנו, נעביר את פורט 80 לשרת DMZ.

שיעור וידאו

הישארו מעודכנים לעוד והצטרפו אלינו ערוץ YouTube ???

מקור: www.habr.com