8. Check Point Getting Start R80.20. NAT

კეთილი იყოს თქვენი მობრძანება 8 გაკვეთილზე. გაკვეთილი ძალიან მნიშვნელოვანია, რადგან... დასრულების შემდეგ, თქვენ შეძლებთ დააკონფიგურიროთ ინტერნეტი თქვენი მომხმარებლებისთვის! უნდა ვაღიარო, რომ ბევრი ადამიანი წყვეტს დაყენებას ამ ეტაპზე 🙂 მაგრამ ჩვენ მათ შორის არ ვართ! და წინ კიდევ ბევრი საინტერესო რამ გვაქვს. ახლა კი ჩვენი გაკვეთილის თემას.

როგორც ალბათ უკვე მიხვდით, დღეს ჩვენ ვისაუბრებთ NAT-ზე. დარწმუნებული ვარ, ყველამ, ვინც ამ გაკვეთილს უყურებს, იცის რა არის NAT. ამიტომ, ჩვენ დეტალურად არ აღვწერთ, თუ როგორ მუშაობს იგი. კიდევ ერთხელ გავიმეორებ, რომ NAT არის მისამართის თარგმნის ტექნოლოგია, რომელიც გამოიგონეს "თეთრი ფულის" დაზოგვის მიზნით, ე.ი. საჯარო IP-ები (ის მისამართები, რომლებიც მარშრუტირებულია ინტერნეტში).

წინა გაკვეთილზე, თქვენ ალბათ უკვე შენიშნეთ, რომ NAT არის წვდომის კონტროლის პოლიტიკის ნაწილი. ეს საკმაოდ ლოგიკურია. SmartConsole-ში NAT პარამეტრები მოთავსებულია ცალკე ჩანართში. ჩვენ დღეს აუცილებლად მივხედავთ იქ. ზოგადად, ამ გაკვეთილზე განვიხილავთ NAT-ის ტიპებს, ინტერნეტის წვდომის კონფიგურაციას და პორტის გადამისამართების კლასიკურ მაგალითს. იმათ. ფუნქციონირება, რომელიც ყველაზე ხშირად გამოიყენება კომპანიებში. Დავიწყოთ.

NAT-ის კონფიგურაციის ორი გზა

Check Point მხარს უჭერს NAT-ის კონფიგურაციის ორ გზას: ავტომატური NAT и სახელმძღვანელო NAT. უფრო მეტიც, თითოეული ამ მეთოდისთვის არსებობს თარგმანის ორი ტიპი: NAT-ის დამალვა и სტატიკური NAT. ზოგადად, ეს ასე გამოიყურება:

მე მესმის, რომ, სავარაუდოდ, ახლა ყველაფერი ძალიან რთულად გამოიყურება, ასე რომ, მოდით შევხედოთ თითოეულ ტიპს ცოტა უფრო დეტალურად.

ავტომატური NAT

ეს არის ყველაზე სწრაფი და მარტივი გზა. NAT-ის კონფიგურაცია ხდება მხოლოდ ორი დაწკაპუნებით. საკმარისია გახსნათ სასურველი ობიექტის თვისებები (იქნება ეს კარიბჭე, ქსელი, ჰოსტი და ა.შ.), გადადით NAT ჩანართზე და შეამოწმეთ "დაამატეთ მისამართის ავტომატური თარგმნის წესები" აქ ნახავთ ველს - თარგმანის მეთოდს. არსებობს, როგორც ზემოთ აღინიშნა, ორი მათგანი.

1. Aitomatic დამალვა NAT

ნაგულისხმევად ეს არის დამალვა. იმათ. ამ შემთხვევაში, ჩვენი ქსელი „დამალდება“ ზოგიერთი საჯარო IP მისამართის მიღმა. ამ შემთხვევაში, მისამართი შეიძლება აიღოთ კარიბჭის გარე ინტერფეისიდან, ან შეგიძლიათ მიუთითოთ სხვა. ამ ტიპის NAT-ს ხშირად უწოდებენ დინამიურ ან ბევრი-ერთ-ერთზე, იმიტომ რამდენიმე შიდა მისამართი ითარგმნება ერთ გარე მისამართით. ბუნებრივია, ეს შესაძლებელია მაუწყებლობის დროს სხვადასხვა პორტების გამოყენებით. Hide NAT მუშაობს მხოლოდ ერთი მიმართულებით (შიგნიდან გარედან) და იდეალურია ლოკალური ქსელებისთვის, როდესაც თქვენ უბრალოდ გჭირდებათ ინტერნეტთან წვდომის უზრუნველყოფა. თუ ტრაფიკი ინიცირებულია გარე ქსელიდან, მაშინ NAT ბუნებრივია არ იმუშავებს. გამოდის, რომ ეს არის დამატებითი დაცვა შიდა ქსელებისთვის.

2. ავტომატური სტატიკური NAT

NAT-ის დამალვა ყველასთვის კარგია, მაგრამ შესაძლოა, თქვენ უნდა უზრუნველყოთ წვდომა გარე ქსელიდან ზოგიერთ შიდა სერვერზე. მაგალითად, DMZ სერვერზე, როგორც ჩვენს მაგალითში. ამ შემთხვევაში Static NAT დაგვეხმარება. ასევე საკმაოდ მარტივია დაყენება. საკმარისია ობიექტის თვისებებში შეცვალოთ თარგმანის მეთოდი Static-ზე და მიუთითოთ საჯარო IP მისამართი, რომელიც გამოყენებული იქნება NAT-ისთვის (იხ. სურათი ზემოთ). იმათ. თუ ვინმე გარე ქსელიდან წვდება ამ მისამართს (ნებისმიერ პორტზე!), მაშინ მოთხოვნა გადაიგზავნება სერვერზე შიდა IP-ით. უფრო მეტიც, თუ თავად სერვერი შემოდის ონლაინ, მისი IP ასევე შეიცვლება ჩვენ მიერ მითითებულ მისამართზე. იმათ. ეს არის NAT ორივე მიმართულებით. მას ასევე უწოდებენ ერთი-ერთი და ზოგჯერ გამოიყენება საჯარო სერვერებისთვის. რატომ "ზოგჯერ"? იმის გამო, რომ მას აქვს ერთი დიდი ნაკლი - საჯარო IP მისამართი მთლიანად არის დაკავებული (ყველა პორტი). თქვენ არ შეგიძლიათ გამოიყენოთ ერთი საჯარო მისამართი სხვადასხვა შიდა სერვერებისთვის (სხვადასხვა პორტებით). მაგალითად HTTP, FTP, SSH, SMTP და ა.შ. სახელმძღვანელო NAT-ს შეუძლია ამ პრობლემის გადაჭრა.

სახელმძღვანელო NAT

Manual NAT-ის თავისებურება ის არის, რომ თქვენ თავად უნდა შექმნათ თარგმანის წესები. იმავე NAT ჩანართში წვდომის კონტროლის პოლიტიკაში. ამავდროულად, Manual NAT გაძლევთ საშუალებას შექმნათ უფრო რთული თარგმანის წესები. თქვენთვის ხელმისაწვდომია შემდეგი ველები: ორიგინალური წყარო, ორიგინალური დანიშნულება, ორიგინალური სერვისები, ნათარგმნი წყარო, ნათარგმნი დანიშნულება, ნათარგმნი სერვისები.

აქ ასევე შესაძლებელია NAT-ის ორი ტიპი - დამალვა და სტატიკური.

1. სახელმძღვანელო დამალვა NAT

Hide NAT ამ შემთხვევაში შეიძლება გამოყენებულ იქნას სხვადასხვა სიტუაციებში. ორიოდე მაგალითი:

1. ლოკალური ქსელიდან კონკრეტულ რესურსზე წვდომისას, გსურთ გამოიყენოთ სხვა სამაუწყებლო მისამართი (განსხვავებული ყველა სხვა შემთხვევისგან გამოყენებული).
2. ლოკალურ ქსელში კომპიუტერების დიდი რაოდენობაა. NAT-ის ავტომატური დამალვა აქ არ იმუშავებს, რადგან... ამ კონფიგურაციის საშუალებით შესაძლებელია მხოლოდ ერთი საჯარო IP მისამართის დაყენება, რომლის მიღმაც კომპიუტერები „დაიმალებიან“. შეიძლება უბრალოდ არ იყოს საკმარისი პორტები მაუწყებლობისთვის. არის, როგორც გახსოვთ, 65 ათასზე ცოტა მეტი. უფრო მეტიც, თითოეულ კომპიუტერს შეუძლია ასობით სესიის გენერირება. Manual Hide NAT გაძლევთ საშუალებას დააყენოთ საჯარო IP მისამართების ჯგუფი Translated Source ველში. ამით გაიზრდება შესაძლო NAT თარგმანის რაოდენობა.

2.სახელმძღვანელო სტატიკური NAT

სტატიკური NAT უფრო ხშირად გამოიყენება თარგმანის წესების ხელით შექმნისას. კლასიკური მაგალითია პორტის გადაგზავნა. შემთხვევა, როდესაც საჯარო IP მისამართზე (რომელიც შეიძლება ეკუთვნოდეს კარიბჭეს) წვდომა ხდება გარე ქსელიდან კონკრეტულ პორტზე და მოთხოვნა ითარგმნება შიდა რესურსზე. ჩვენს ლაბორატორიულ სამუშაოებში ჩვენ 80-ე პორტს გადავაგზავნით DMZ სერვერზე.

ვიდეო გაკვეთილი

თვალყური ადევნეთ მეტს და შემოგვიერთდით YouTube არხი 🙂

წყარო: www.habr.com