5. 포티넷 v6.0 시작하기. NAT

인사말! 이 과정의 다섯 번째 수업에 오신 것을 환영합니다. 포티넷 시작하기. 에 마지막 수업 우리는 보안 정책이 어떻게 작동하는지 알아냈습니다. 이제 로컬 사용자를 인터넷에 공개할 차례입니다. 이를 위해 이번 강의에서는 NAT 메커니즘의 작동을 살펴보겠습니다.
사용자를 인터넷에 공개하는 것 외에도 내부 서비스를 게시하는 방법도 살펴보겠습니다. 컷 아래에는 비디오 강의 자체뿐 아니라 비디오의 간략한 이론도 나와 있습니다.
NAT(Network Address Translation) 기술은 네트워크 패킷의 IP 주소를 변환하는 메커니즘입니다. Fortinet 용어로 NAT는 소스 NAT와 대상 NAT의 두 가지 유형으로 구분됩니다.

이름은 그 자체로 나타납니다. 소스 NAT를 사용하면 소스 주소가 변경되고, 대상 NAT를 사용하면 대상 주소가 변경됩니다.

또한 NAT 설정을 위한 몇 가지 옵션(방화벽 정책 NAT 및 중앙 NAT)도 있습니다.

첫 번째 옵션을 사용하는 경우 각 보안 정책에 대해 소스 및 대상 NAT를 구성해야 합니다. 이 경우 소스 NAT는 나가는 인터페이스의 IP 주소 또는 사전 구성된 IP 풀을 사용합니다. 대상 NAT는 사전 구성된 개체(일명 VIP - 가상 IP)를 대상 주소로 사용합니다.

Central NAT를 사용하면 전체 장치(또는 가상 도메인)에 대해 소스 및 대상 NAT 구성이 한 번에 수행됩니다. 이 경우 NAT 설정은 소스 NAT 및 대상 NAT 규칙에 따라 모든 정책에 적용됩니다.

소스 NAT 규칙은 중앙 소스 NAT 정책에서 구성됩니다. 대상 NAT는 IP 주소를 사용하여 DNAT 메뉴에서 구성됩니다.

이 레슨에서는 방화벽 정책 NAT만 고려합니다. 실습에서 알 수 있듯이 이 구성 옵션은 중앙 NAT보다 훨씬 더 일반적입니다.

이미 말했듯이 방화벽 정책 소스 NAT를 구성할 때 IP 주소를 나가는 인터페이스의 주소로 바꾸거나 사전 구성된 IP 주소 풀의 IP 주소로 바꾸는 두 가지 구성 옵션이 있습니다. 아래 그림과 같은 모습입니다. 다음으로 가능한 풀에 대해 간략하게 설명하겠습니다. 하지만 실제로는 나가는 인터페이스의 주소가 있는 옵션만 고려할 것입니다. 레이아웃에서는 IP 주소 풀이 필요하지 않습니다.

IP 풀은 세션 중에 소스 주소로 사용될 하나 이상의 IP 주소를 정의합니다. 이러한 IP 주소는 FortiGate 발신 인터페이스 IP 주소 대신 사용됩니다.

FortiGate에서 구성할 수 있는 IP 풀에는 4가지 유형이 있습니다.

• 과부하
• 1-1
• 고정 포트 범위
• 포트 블록 할당

과부하는 기본 IP 풀입니다. 다대일 또는 다대다 방식을 사용하여 IP 주소를 변환합니다. 포트 변환도 사용됩니다. 아래 그림에 표시된 회로를 고려하십시오. 소스 및 대상 필드가 정의된 패키지가 있습니다. 이 패킷이 외부 네트워크에 액세스하도록 허용하는 방화벽 정책에 따라 NAT 규칙이 적용됩니다. 결과적으로 이 패킷에서 소스 필드는 IP 풀에 지정된 IP 주소 중 하나로 대체됩니다.

일대일 풀은 또한 많은 외부 IP 주소를 정의합니다. NAT 규칙이 활성화된 방화벽 정책에 패킷이 포함되면 소스 필드의 IP 주소가 이 풀에 속한 주소 중 하나로 변경됩니다. 교체는 "선입선출" 규칙을 따릅니다. 더 명확하게 하기 위해 예를 살펴보겠습니다.

IP 주소가 192.168.1.25인 로컬 네트워크의 컴퓨터가 외부 네트워크로 패킷을 보냅니다. 이는 NAT 규칙에 속하며 소스 필드는 풀의 첫 번째 IP 주소(이 경우 83.235.123.5)로 변경됩니다. 이 IP 풀을 사용할 때 포트 변환이 사용되지 않는다는 점은 주목할 가치가 있습니다. 이후 주소가 192.168.1.35인 동일한 로컬 네트워크의 컴퓨터가 외부 네트워크로 패킷을 보내고 이 NAT 규칙에도 속하면 이 패킷의 소스 필드에 있는 IP 주소가 다음으로 변경됩니다. 83.235.123.6. 풀에 더 이상 주소가 남아 있지 않으면 후속 연결이 거부됩니다. 즉, 이 경우 4대의 컴퓨터가 동시에 NAT 규칙에 속할 수 있습니다.

고정 포트 범위는 IP 주소의 내부 및 외부 범위를 연결합니다. 포트 변환도 비활성화됩니다. 이를 통해 내부 IP 주소 풀의 시작 또는 끝을 외부 IP 주소 풀의 시작 또는 끝과 영구적으로 연결할 수 있습니다. 아래 예에서는 내부 주소 풀 192.168.1.25 - 192.168.1.28이 외부 주소 풀 83.235.123.5 - 83.235.125.8에 매핑됩니다.

포트 블록 할당 - 이 IP 풀은 IP 풀 사용자에게 포트 블록을 할당하는 데 사용됩니다. IP 풀 자체 외에도 블록 크기와 각 사용자에게 할당된 블록 수라는 두 가지 매개변수도 여기에 지정해야 합니다.

이제 Destination NAT 기술을 살펴보겠습니다. VIP(가상 IP 주소)를 기반으로 합니다. 대상 NAT 규칙에 해당하는 패킷의 경우 대상 필드의 IP 주소가 변경됩니다. 일반적으로 공용 인터넷 주소는 서버의 개인 주소로 변경됩니다. 가상 IP 주소는 방화벽 정책에서 대상 필드로 사용됩니다.

가상 IP 주소의 표준 유형은 고정 NAT입니다. 이는 외부 주소와 내부 주소 간의 일대일 대응입니다.

고정 NAT 대신 특정 포트를 전달하여 가상 주소를 제한할 수 있습니다. 예를 들어 포트 8080의 외부 주소에 대한 연결을 포트 80의 내부 IP 주소에 대한 연결과 연결합니다.

아래 예에서는 주소가 172.17.10.25인 컴퓨터가 포트 83.235.123.20에서 주소 80에 액세스하려고 합니다. 이 연결은 DNAT 규칙에 속하므로 대상 IP 주소가 10.10.10.10으로 변경됩니다.

동영상에서는 이론을 설명하고 소스 및 대상 NAT 구성에 대한 실제 예도 제공합니다.

다음 강의에서는 인터넷에서 사용자 안전을 보장하는 방법을 살펴보겠습니다. 특히 다음 강의에서는 웹 필터링 및 애플리케이션 제어 기능에 대해 설명합니다. 놓치지 않으려면 다음 채널의 업데이트를 따르세요.

유튜브
페이스 북 그룹
Yandex Zen
우리 사이트
텔레그램 채널

출처 : habr.com