5. Fortinet ការចាប់ផ្តើម v6.0. ណាត

ស្វាគមន៍! សូមស្វាគមន៍មកកាន់មេរៀនទីប្រាំនៃវគ្គសិក្សា Fortinet ចាប់ផ្តើម។ បើក មេរៀនចុងក្រោយ យើងបានស្វែងយល់ពីរបៀបដែលគោលនយោបាយសន្តិសុខដំណើរការ។ ឥឡូវនេះវាដល់ពេលហើយដើម្បីបញ្ចេញអ្នកប្រើប្រាស់ក្នុងស្រុកនៅលើអ៊ីនធឺណិត។ ដើម្បីធ្វើដូចនេះនៅក្នុងមេរៀននេះយើងនឹងពិនិត្យមើលប្រតិបត្តិការនៃយន្តការ NAT ។
បន្ថែមពីលើការចេញផ្សាយអ្នកប្រើប្រាស់ទៅកាន់អ៊ីនធឺណិត យើងក៏នឹងពិនិត្យមើលវិធីសាស្រ្តសម្រាប់ការបោះពុម្ពផ្សាយសេវាកម្មផ្ទៃក្នុងផងដែរ។ ខាងក្រោម​នេះ​ជា​ទ្រឹស្តី​សង្ខេប​ពី​វីដេអូ ក៏ដូចជា​មេរៀន​វីដេអូ​ផ្ទាល់។
បច្ចេកវិទ្យា NAT (Network Address Translation) គឺជាយន្តការសម្រាប់បំប្លែងអាសយដ្ឋាន IP នៃកញ្ចប់ព័ត៌មានបណ្តាញ។ នៅក្នុងពាក្យ Fortinet NAT ត្រូវបានបែងចែកជាពីរប្រភេទគឺ Source NAT និង Destination NAT ។

ឈ្មោះនិយាយដោយខ្លួនឯង - នៅពេលប្រើប្រភព NAT អាសយដ្ឋានប្រភពផ្លាស់ប្តូរ នៅពេលប្រើ Destination NAT អាសយដ្ឋានគោលដៅផ្លាស់ប្តូរ។

លើសពីនេះទៀត វាក៏មានជម្រើសជាច្រើនសម្រាប់ការដំឡើង NAT - Firewall Policy NAT និង Central NAT ។

នៅពេលប្រើជម្រើសដំបូង ប្រភព និងទិសដៅ NAT ត្រូវតែកំណត់រចនាសម្ព័ន្ធសម្រាប់គោលការណ៍សុវត្ថិភាពនីមួយៗ។ ក្នុងករណីនេះ ប្រភព NAT ប្រើទាំងអាសយដ្ឋាន IP នៃចំណុចប្រទាក់ចេញ ឬ IP Pool ដែលបានកំណត់ទុកជាមុន។ គោលដៅ NAT ប្រើវត្ថុដែលបានកំណត់រចនាសម្ព័ន្ធជាមុន (ដែលគេហៅថាវីអាយភី - IP និម្មិត) ជាអាសយដ្ឋានគោលដៅ។

នៅពេលប្រើ Central NAT ការកំណត់រចនាសម្ព័ន្ធ NAT ប្រភព និងទិសដៅត្រូវបានអនុវត្តសម្រាប់ឧបករណ៍ទាំងមូល (ឬដែននិម្មិត) ក្នុងពេលតែមួយ។ ក្នុងករណីនេះ ការកំណត់ NAT អនុវត្តចំពោះគោលការណ៍ទាំងអស់ អាស្រ័យលើប្រភព NAT និងច្បាប់ NAT គោលដៅ។

ច្បាប់ NAT ប្រភពត្រូវបានកំណត់រចនាសម្ព័ន្ធនៅក្នុងគោលការណ៍ NAT ប្រភពកណ្តាល។ គោលដៅ NAT ត្រូវបានកំណត់រចនាសម្ព័ន្ធពីម៉ឺនុយ DNAT ដោយប្រើអាសយដ្ឋាន IP ។

នៅក្នុងមេរៀននេះ យើងនឹងពិចារណាតែ Firewall Policy NAT - ដូចដែលការអនុវត្តបង្ហាញ ជម្រើសនៃការកំណត់នេះគឺជារឿងធម្មតាជាង Central NAT ។

ដូចដែលខ្ញុំបាននិយាយរួចហើយ នៅពេលកំណត់រចនាសម្ព័ន្ធ Firewall Policy Source NAT មានជម្រើសកំណត់រចនាសម្ព័ន្ធពីរ៖ ការជំនួសអាសយដ្ឋាន IP ជាមួយនឹងអាសយដ្ឋាននៃចំណុចប្រទាក់ចេញ ឬជាមួយអាសយដ្ឋាន IP ពីបណ្តុំអាសយដ្ឋាន IP ដែលបានកំណត់ទុកជាមុន។ វាមើលទៅដូចអ្វីដែលបានបង្ហាញក្នុងរូបខាងក្រោម។ បន្ទាប់ ខ្ញុំនឹងនិយាយដោយសង្ខេបអំពីអាងដែលអាចធ្វើបាន ប៉ុន្តែនៅក្នុងការអនុវត្ត យើងនឹងពិចារណាតែជម្រើសជាមួយនឹងអាសយដ្ឋាននៃចំណុចប្រទាក់ចេញប៉ុណ្ណោះ - នៅក្នុងប្លង់របស់យើង យើងមិនត្រូវការអាងអាសយដ្ឋាន IP ទេ។

បណ្តុំ IP កំណត់អាសយដ្ឋាន IP មួយ ឬច្រើនដែលនឹងត្រូវបានប្រើជាអាសយដ្ឋានប្រភពក្នុងអំឡុងពេលវគ្គមួយ។ អាសយដ្ឋាន IP ទាំងនេះនឹងត្រូវបានប្រើជំនួសឱ្យអាសយដ្ឋាន IP ចំណុចប្រទាក់ចេញរបស់ FortiGate ។

មាន 4 ប្រភេទ IP ដែលអាចកំណត់រចនាសម្ព័ន្ធនៅលើ FortiGate:

• បន្ទុក
• មួយ​ទៅ​មួយ
• ជួរច្រកថេរ
• ការបែងចែកប្លុកច្រក

បន្ទុកលើសគឺជាអាង IP សំខាន់។ វាបំប្លែងអាសយដ្ឋាន IP ដោយប្រើគ្រោងការណ៍ច្រើនទៅមួយ ឬច្រើនទៅច្រើន។ ការបកប្រែច្រកត្រូវបានប្រើផងដែរ។ ពិចារណាសៀគ្វីដែលបង្ហាញក្នុងរូបភាពខាងក្រោម។ យើងមានកញ្ចប់មួយដែលមានវាលប្រភព និងគោលដៅដែលបានកំណត់។ ប្រសិនបើវាមកនៅក្រោមគោលការណ៍ជញ្ជាំងភ្លើងដែលអនុញ្ញាតឱ្យកញ្ចប់ព័ត៌មាននេះចូលប្រើបណ្តាញខាងក្រៅ ច្បាប់ NAT ត្រូវបានអនុវត្តចំពោះវា។ ជាលទ្ធផល នៅក្នុងកញ្ចប់ព័ត៌មាននេះ វាលប្រភពត្រូវបានជំនួសដោយអាសយដ្ឋាន IP មួយក្នុងចំណោមអាសយដ្ឋាន IP ដែលបានបញ្ជាក់នៅក្នុងអាង IP ។

អាងមួយទៅមួយក៏កំណត់អាសយដ្ឋាន IP ខាងក្រៅជាច្រើនផងដែរ។ នៅពេលដែលកញ្ចប់ព័ត៌មានធ្លាក់នៅក្រោមគោលការណ៍ជញ្ជាំងភ្លើងដែលមានច្បាប់ NAT ត្រូវបានបើក អាសយដ្ឋាន IP នៅក្នុងវាលប្រភពត្រូវបានផ្លាស់ប្តូរទៅជាអាសយដ្ឋានមួយក្នុងចំណោមអាសយដ្ឋានដែលជាកម្មសិទ្ធិរបស់ក្រុមនេះ។ ការជំនួសគឺអនុវត្តតាមច្បាប់ "ចូលដំបូង ចេញដំបូង" ។ ដើម្បី​ឱ្យ​វា​កាន់​តែ​ច្បាស់ សូម​យើង​មើល​ឧទាហរណ៍​មួយ។

កុំព្យូទ័រនៅលើបណ្តាញមូលដ្ឋានដែលមានអាសយដ្ឋាន IP 192.168.1.25 ផ្ញើកញ្ចប់ព័ត៌មានទៅបណ្តាញខាងក្រៅ។ វាស្ថិតនៅក្រោមច្បាប់ NAT ហើយវាលប្រភពត្រូវបានប្តូរទៅអាសយដ្ឋាន IP ដំបូងពីអាង ក្នុងករណីរបស់យើងវាគឺ 83.235.123.5 ។ វាគួរឱ្យកត់សម្គាល់ថានៅពេលប្រើអាង IP នេះការបកប្រែច្រកមិនត្រូវបានប្រើទេ។ ប្រសិនបើបន្ទាប់ពីនេះ កុំព្យូទ័រពីបណ្តាញមូលដ្ឋានដូចគ្នាដែលមានអាសយដ្ឋាននិយាយថា 192.168.1.35 ផ្ញើកញ្ចប់ព័ត៌មានទៅបណ្តាញខាងក្រៅ ហើយស្ថិតនៅក្រោមច្បាប់ NAT នេះផងដែរ អាសយដ្ឋាន IP នៅក្នុងវាលប្រភពនៃកញ្ចប់ព័ត៌មាននេះនឹងប្តូរទៅ ៨៣.២៣៥.១២៣.៦. ប្រសិនបើមិនមានអាសយដ្ឋានបន្ថែមនៅក្នុងអាងទេ ការតភ្ជាប់ជាបន្តបន្ទាប់នឹងត្រូវបានបដិសេធ។ នោះគឺក្នុងករណីនេះ 83.235.123.6 កុំព្យូទ័រអាចស្ថិតនៅក្រោមការគ្រប់គ្រង NAT របស់យើងក្នុងពេលតែមួយ។

Fixed Port Range ភ្ជាប់ជួរខាងក្នុង និងខាងក្រៅនៃអាសយដ្ឋាន IP ។ ការបកប្រែច្រកក៏ត្រូវបានបិទផងដែរ។ នេះអនុញ្ញាតឱ្យអ្នកភ្ជាប់ជាអចិន្ត្រៃយ៍ការចាប់ផ្តើមឬចុងបញ្ចប់នៃបណ្តុំនៃអាសយដ្ឋាន IP ខាងក្នុងជាមួយនឹងការចាប់ផ្តើមឬចុងបញ្ចប់នៃក្រុមនៃអាសយដ្ឋាន IP ខាងក្រៅ។ ក្នុងឧទាហរណ៍ខាងក្រោម បណ្តុំអាសយដ្ឋានខាងក្នុង 192.168.1.25 - 192.168.1.28 ត្រូវបានផ្គូផ្គងទៅក្រុមអាសយដ្ឋានខាងក្រៅ 83.235.123.5 - 83.235.125.8 ។

ការបែងចែកប្លុកច្រក - អាង IP នេះត្រូវបានប្រើដើម្បីបែងចែកប្លុកនៃច្រកសម្រាប់អ្នកប្រើប្រាស់ IP pool ។ បន្ថែមពីលើអាង IP ខ្លួនវា ប៉ារ៉ាម៉ែត្រពីរក៏ត្រូវតែបញ្ជាក់នៅទីនេះផងដែរ - ទំហំប្លុក និងចំនួនប្លុកដែលបានបម្រុងទុកសម្រាប់អ្នកប្រើប្រាស់ម្នាក់ៗ។

ឥឡូវនេះសូមក្រឡេកមើលបច្ចេកវិទ្យា Destination NAT ។ វាត្រូវបានផ្អែកលើអាសយដ្ឋាន IP និម្មិត (VIP) ។ សម្រាប់កញ្ចប់ព័ត៌មានដែលស្ថិតនៅក្រោមច្បាប់ Destination NAT អាសយដ្ឋាន IP នៅក្នុងវាលទិសដៅផ្លាស់ប្តូរ៖ ជាធម្មតា អាសយដ្ឋានអ៊ីនធឺណិតសាធារណៈផ្លាស់ប្តូរទៅអាសយដ្ឋានឯកជនរបស់ម៉ាស៊ីនមេ។ អាសយដ្ឋាន IP និម្មិតត្រូវបានប្រើនៅក្នុងគោលការណ៍ជញ្ជាំងភ្លើងជាវាលទិសដៅ។

ប្រភេទស្តង់ដារនៃអាសយដ្ឋាន IP និម្មិតគឺ Static NAT ។ នេះគឺជាការឆ្លើយឆ្លងមួយទល់មួយរវាងអាសយដ្ឋានខាងក្រៅ និងខាងក្នុង។

ជំនួសឱ្យ Static NAT អាសយដ្ឋាននិម្មិតអាចត្រូវបានកំណត់ដោយការបញ្ជូនបន្តច្រកជាក់លាក់។ ឧទាហរណ៍ ការភ្ជាប់ទំនាក់ទំនងទៅអាសយដ្ឋានខាងក្រៅនៅលើច្រក 8080 ជាមួយនឹងការតភ្ជាប់ទៅអាសយដ្ឋាន IP ខាងក្នុងនៅលើច្រក 80 ។

ក្នុងឧទាហរណ៍ខាងក្រោម កុំព្យូទ័រដែលមានអាសយដ្ឋាន 172.17.10.25 កំពុងព្យាយាមចូលប្រើអាសយដ្ឋាន 83.235.123.20 នៅលើច្រក 80។ ការតភ្ជាប់នេះស្ថិតនៅក្រោមច្បាប់ DNAT ដូច្នេះអាសយដ្ឋាន IP ទិសដៅត្រូវបានប្តូរទៅ 10.10.10.10។

វីដេអូពិភាក្សាអំពីទ្រឹស្តី និងផ្តល់នូវឧទាហរណ៍ជាក់ស្តែងនៃការកំណត់រចនាសម្ព័ន្ធប្រភព និងទិសដៅ NAT ។

នៅក្នុងមេរៀនបន្ទាប់ យើងនឹងបន្តទៅការធានាសុវត្ថិភាពអ្នកប្រើប្រាស់នៅលើអ៊ីនធឺណិត។ ជាពិសេស មេរៀនបន្ទាប់នឹងពិភាក្សាអំពីមុខងារនៃការត្រងគេហទំព័រ និងការគ្រប់គ្រងកម្មវិធី។ ដើម្បីកុំឱ្យខកខាន សូមតាមដានព័ត៌មានថ្មីៗនៅលើប៉ុស្តិ៍ខាងក្រោម៖

Youtube
សហគមន៍ Vkontakte
Yandex Zen
គេហទំព័ររបស់យើង
ឆានែល Telegram

ប្រភព: www.habr.com