5. Fortinet ການເລີ່ມຕົ້ນ v6.0. NAT

ຊົມເຊີຍ! ຍິນດີຕ້ອນຮັບສູ່ບົດຮຽນທີຫ້າຂອງຫຼັກສູດ Fortinet ເລີ່ມຕົ້ນ. ໃນ ບົດຮຽນສຸດທ້າຍ ພວກເຮົາໄດ້ຄິດອອກວ່ານະໂຍບາຍຄວາມປອດໄພເຮັດວຽກແນວໃດ. ໃນປັດຈຸບັນມັນເຖິງເວລາທີ່ຈະປ່ອຍຜູ້ໃຊ້ທ້ອງຖິ່ນໄປສູ່ອິນເຕີເນັດ. ເພື່ອເຮັດສິ່ງນີ້, ໃນບົດຮຽນນີ້ພວກເຮົາຈະເບິ່ງການດໍາເນີນງານຂອງກົນໄກ NAT.
ນອກເຫນືອຈາກການປ່ອຍຜູ້ໃຊ້ໄປສູ່ອິນເຕີເນັດ, ພວກເຮົາຍັງຈະເບິ່ງວິທີການເຜີຍແຜ່ການບໍລິການພາຍໃນ. ຂ້າງລຸ່ມນີ້ການຕັດແມ່ນທິດສະດີໂດຍຫຍໍ້ຈາກວິດີໂອ, ເຊັ່ນດຽວກັນກັບບົດຮຽນວິດີໂອຕົວມັນເອງ.
ເທັກໂນໂລຍີ NAT (Network Address Translation) ເປັນກົນໄກການປ່ຽນທີ່ຢູ່ IP ຂອງແພັກເກັດເຄືອຂ່າຍ. ໃນຂໍ້ກໍານົດ Fortinet, NAT ແບ່ງອອກເປັນສອງປະເພດ: NAT ແຫຼ່ງແລະ NAT ປາຍທາງ.

ຊື່ເວົ້າສໍາລັບຕົວເອງ - ເມື່ອນໍາໃຊ້ Source NAT, ທີ່ຢູ່ແຫຼ່ງປ່ຽນ, ເມື່ອນໍາໃຊ້ Destination NAT, ທີ່ຢູ່ປາຍທາງຈະປ່ຽນແປງ.

ນອກຈາກນັ້ນ, ຍັງມີທາງເລືອກຫຼາຍຢ່າງໃນການຕັ້ງຄ່າ NAT - Firewall Policy NAT ແລະ Central NAT.

ເມື່ອໃຊ້ຕົວເລືອກທໍາອິດ, ແຫຼ່ງທີ່ມາ ແລະປາຍທາງ NAT ຕ້ອງໄດ້ຮັບການຕັ້ງຄ່າສໍາລັບແຕ່ລະນະໂຍບາຍຄວາມປອດໄພ. ໃນກໍລະນີນີ້, Source NAT ໃຊ້ທັງທີ່ຢູ່ IP ຂອງອິນເຕີເຟດຂາອອກຫຼື IP Pool ທີ່ກໍານົດໄວ້ກ່ອນ. ປາຍທາງ NAT ໃຊ້ວັດຖຸທີ່ກຳນົດຄ່າລ່ວງໜ້າ (ອັນທີ່ເອີ້ນວ່າ VIP - Virtual IP) ເປັນທີ່ຢູ່ປາຍທາງ.

ເມື່ອໃຊ້ Central NAT, ການກຳນົດຄ່າ NAT ແຫຼ່ງທີ່ມາ ແລະຈຸດໝາຍປາຍທາງຖືກປະຕິບັດສຳລັບອຸປະກອນທັງໝົດ (ຫຼືໂດເມນສະເໝືອນ) ໃນເວລາດຽວກັນ. ໃນກໍລະນີນີ້, ການຕັ້ງຄ່າ NAT ນຳໃຊ້ກັບນະໂຍບາຍທັງໝົດ, ຂຶ້ນກັບກົດລະບຽບ NAT ແຫຼ່ງທີ່ມາ ແລະ NAT ປາຍທາງ.

ກົດລະບຽບ NAT ແຫຼ່ງແມ່ນຖືກຕັ້ງຄ່າໃນນະໂຍບາຍ NAT ແຫຼ່ງສູນກາງ. NAT ປາຍທາງຖືກຕັ້ງຄ່າຈາກເມນູ DNAT ໂດຍໃຊ້ທີ່ຢູ່ IP.

ໃນບົດຮຽນນີ້, ພວກເຮົາຈະພິຈາລະນາພຽງແຕ່ນະໂຍບາຍ Firewall NAT - ຕາມການປະຕິບັດສະແດງໃຫ້ເຫັນ, ທາງເລືອກການຕັ້ງຄ່ານີ້ແມ່ນມີຫຼາຍກ່ວາ Central NAT.

ດັ່ງທີ່ຂ້າພະເຈົ້າໄດ້ເວົ້າແລ້ວ, ເມື່ອຕັ້ງຄ່າ Firewall Policy Source NAT, ມີສອງທາງເລືອກໃນການຕັ້ງຄ່າ: ການປ່ຽນທີ່ຢູ່ IP ກັບທີ່ຢູ່ຂອງການໂຕ້ຕອບຂາອອກ, ຫຼືກັບທີ່ຢູ່ IP ຈາກກຸ່ມທີ່ຢູ່ IP ທີ່ກໍານົດໄວ້ກ່ອນ. ມັນຄ້າຍຄືສິ່ງທີ່ສະແດງຢູ່ໃນຮູບຂ້າງລຸ່ມນີ້. ຕໍ່ໄປ, ຂ້າພະເຈົ້າຈະສົນທະນາສັ້ນໆກ່ຽວກັບສະນຸກເກີທີ່ເປັນໄປໄດ້, ແຕ່ໃນການປະຕິບັດພວກເຮົາພຽງແຕ່ຈະພິຈາລະນາທາງເລືອກທີ່ມີທີ່ຢູ່ຂອງການໂຕ້ຕອບຂາອອກ - ໃນຮູບແບບຂອງພວກເຮົາ, ພວກເຮົາບໍ່ຕ້ອງການສະນຸກເກີທີ່ຢູ່ IP.

ສະນຸກເກີ IP ກໍານົດຫນຶ່ງຫຼືຫຼາຍທີ່ຢູ່ IP ທີ່ຈະຖືກນໍາໃຊ້ເປັນທີ່ຢູ່ແຫຼ່ງໃນລະຫວ່າງການປະຊຸມ. ທີ່ຢູ່ IP ເຫຼົ່ານີ້ຈະຖືກໃຊ້ແທນທີ່ຢູ່ IP ຂອງອິນເຕີເຟດຂາອອກ FortiGate.

ມີ 4 ປະເພດຂອງ IP pools ທີ່ສາມາດ configured ໃນ FortiGate:

• overload
• ໜຶ່ງ ຫາ ໜຶ່ງ
• ໄລຍະພອດຄົງທີ່
• ການຈັດສັນພອດຕັນ

Overload ແມ່ນສະນຸກເກີ IP ຕົ້ນຕໍ. ມັນແປງທີ່ຢູ່ IP ໂດຍໃຊ້ຫຼາຍຕໍ່ຫນຶ່ງຫຼືຫຼາຍຕໍ່ຫຼາຍໂຄງການ. ການແປພອດແມ່ນໃຊ້ເຊັ່ນກັນ. ພິຈາລະນາວົງຈອນທີ່ສະແດງຢູ່ໃນຮູບຂ້າງລຸ່ມນີ້. ພວກເຮົາມີຊຸດທີ່ມີແຫຼ່ງທີ່ມາແລະຈຸດຫມາຍປາຍທາງທີ່ກໍານົດໄວ້. ຖ້າມັນມາພາຍໃຕ້ນະໂຍບາຍໄຟວໍທີ່ອະນຸຍາດໃຫ້ແພັກເກັດນີ້ເຂົ້າເຖິງເຄືອຂ່າຍພາຍນອກ, ກົດລະບຽບ NAT ຈະຖືກນໍາໃຊ້ກັບມັນ. ດັ່ງນັ້ນ, ໃນແພັກເກັດນີ້, ພາກສະຫນາມແຫຼ່ງຂໍ້ມູນຖືກແທນທີ່ດ້ວຍຫນຶ່ງໃນທີ່ຢູ່ IP ທີ່ລະບຸໄວ້ໃນ IP pool.

A One to One pool ຍັງກໍານົດທີ່ຢູ່ IP ພາຍນອກຈໍານວນຫຼາຍ. ເມື່ອແພັກເກັດຕົກຢູ່ພາຍໃຕ້ນະໂຍບາຍໄຟວໍທີ່ມີກົດ NAT ເປີດໃຊ້, ທີ່ຢູ່ IP ໃນຊ່ອງແຫຼ່ງຂໍ້ມູນຈະຖືກປ່ຽນເປັນຫນຶ່ງທີ່ຢູ່ຂອງກຸ່ມນີ້. ການທົດແທນແມ່ນປະຕິບັດຕາມກົດລະບຽບ "ທໍາອິດໃນ, ອອກກ່ອນ". ເພື່ອເຮັດໃຫ້ມັນຊັດເຈນຂຶ້ນ, ໃຫ້ເບິ່ງຕົວຢ່າງ.

ຄອມພິວເຕີຢູ່ໃນເຄືອຂ່າຍທ້ອງຖິ່ນທີ່ມີທີ່ຢູ່ IP 192.168.1.25 ສົ່ງແພັກເກັດໄປຫາເຄືອຂ່າຍພາຍນອກ. ມັນຕົກຢູ່ພາຍໃຕ້ກົດລະບຽບ NAT, ແລະພາກສະຫນາມ Source ຖືກປ່ຽນເປັນທີ່ຢູ່ IP ທໍາອິດຈາກສະນຸກເກີ, ໃນກໍລະນີຂອງພວກເຮົາມັນແມ່ນ 83.235.123.5. ມັນເປັນມູນຄ່າທີ່ສັງເກດວ່າໃນເວລາທີ່ການນໍາໃຊ້ IP pool ນີ້, ການແປພາສາພອດບໍ່ໄດ້ຖືກນໍາໃຊ້. ຖ້າຫລັງຈາກນີ້ຄອມພິວເຕີຈາກເຄືອຂ່າຍທ້ອງຖິ່ນດຽວກັນ, ທີ່ມີທີ່ຢູ່ຂອງ, ເວົ້າວ່າ, 192.168.1.35, ສົ່ງແພັກເກັດໄປຫາເຄືອຂ່າຍພາຍນອກແລະຍັງຢູ່ພາຍໃຕ້ກົດລະບຽບ NAT ນີ້, ທີ່ຢູ່ IP ໃນຊ່ອງແຫຼ່ງຂໍ້ມູນຂອງແພັກເກັດນີ້ຈະປ່ຽນເປັນ. 83.235.123.6. ຖ້າບໍ່ມີທີ່ຢູ່ເພີ່ມເຕີມໃນສະນຸກເກີ, ການເຊື່ອມຕໍ່ຕໍ່ມາຈະຖືກປະຕິເສດ. ນັ້ນແມ່ນ, ໃນກໍລະນີນີ້, 4 ຄອມພິວເຕີສາມາດຕົກຢູ່ພາຍໃຕ້ກົດລະບຽບ NAT ຂອງພວກເຮົາໃນເວລາດຽວກັນ.

Fixed Port Range ເຊື່ອມຕໍ່ພາຍໃນ ແລະພາຍນອກຂອງທີ່ຢູ່ IP. ການແປພອດແມ່ນຖືກປິດນຳໃຊ້ເຊັ່ນກັນ. ນີ້ອະນຸຍາດໃຫ້ທ່ານສາມາດເຊື່ອມໂຍງການເລີ່ມຕົ້ນຫຼືສິ້ນສຸດຂອງທີ່ຢູ່ IP ພາຍໃນຢ່າງຖາວອນກັບການເລີ່ມຕົ້ນຫຼືສິ້ນສຸດຂອງກຸ່ມທີ່ຢູ່ IP ພາຍນອກ. ໃນຕົວຢ່າງຂ້າງລຸ່ມນີ້, ສະນຸກເກີທີ່ຢູ່ພາຍໃນ 192.168.1.25 - 192.168.1.28 ຖືກແຜນທີ່ກັບສະລອຍນ້ໍາທີ່ຢູ່ພາຍນອກ 83.235.123.5 - 83.235.125.8.

Port Block Allocation - ສະນຸກເກີ IP ນີ້ຖືກນໍາໃຊ້ເພື່ອຈັດສັນບລັອກຂອງພອດສໍາລັບຜູ້ໃຊ້ IP pool. ນອກເຫນືອຈາກສະນຸກເກີ IP ຕົວຂອງມັນເອງ, ສອງຕົວກໍານົດການຍັງຕ້ອງຖືກລະບຸຢູ່ທີ່ນີ້ - ຂະຫນາດບລັອກແລະຈໍານວນບລັອກທີ່ຖືກຈັດສັນສໍາລັບຜູ້ໃຊ້ແຕ່ລະຄົນ.

ຕອນນີ້ໃຫ້ເບິ່ງເທັກໂນໂລຍີ Destination NAT. ມັນແມ່ນອີງໃສ່ທີ່ຢູ່ IP virtual (VIP). ສໍາລັບແພັກເກັດທີ່ຕົກຢູ່ພາຍໃຕ້ກົດລະບຽບ NAT ປາຍທາງ, ທີ່ຢູ່ IP ໃນພາກສະຫນາມປາຍທາງຈະປ່ຽນແປງ: ປົກກະຕິແລ້ວທີ່ຢູ່ອິນເຕີເນັດສາທາລະນະຈະປ່ຽນເປັນທີ່ຢູ່ສ່ວນຕົວຂອງເຄື່ອງແມ່ຂ່າຍ. ທີ່ຢູ່ IP virtual ຖືກໃຊ້ໃນນະໂຍບາຍໄຟວໍເປັນຊ່ອງປາຍທາງ.

ປະເພດມາດຕະຖານຂອງທີ່ຢູ່ IP virtual ແມ່ນ Static NAT. ນີ້ແມ່ນການຕອບແບບຫນຶ່ງຕໍ່ຫນຶ່ງລະຫວ່າງທີ່ຢູ່ພາຍນອກແລະພາຍໃນ.

ແທນທີ່ຈະ Static NAT, ທີ່ຢູ່ virtual ສາມາດຖືກຈໍາກັດໂດຍການສົ່ງຕໍ່ພອດສະເພາະ. ຕົວຢ່າງ, ເຊື່ອມຕໍ່ການເຊື່ອມຕໍ່ກັບທີ່ຢູ່ພາຍນອກຢູ່ໃນພອດ 8080 ດ້ວຍການເຊື່ອມຕໍ່ກັບທີ່ຢູ່ IP ພາຍໃນຢູ່ໃນພອດ 80.

ໃນຕົວຢ່າງຂ້າງລຸ່ມນີ້, ຄອມພິວເຕີທີ່ມີທີ່ຢູ່ 172.17.10.25 ກໍາລັງພະຍາຍາມເຂົ້າຫາທີ່ຢູ່ 83.235.123.20 ໃນພອດ 80. ການເຊື່ອມຕໍ່ນີ້ຕົກຢູ່ພາຍໃຕ້ກົດລະບຽບ DNAT, ດັ່ງນັ້ນທີ່ຢູ່ IP ປາຍທາງຖືກປ່ຽນເປັນ 10.10.10.10.

ວິດີໂອສົນທະນາກ່ຽວກັບທິດສະດີ ແລະຍັງໃຫ້ຕົວຢ່າງພາກປະຕິບັດຂອງການຕັ້ງຄ່າແຫຼ່ງທີ່ມາ ແລະປາຍທາງ NAT.

ໃນບົດຮຽນຕໍ່ໄປພວກເຮົາຈະກ້າວໄປສູ່ການຮັບປະກັນຄວາມປອດໄພຂອງຜູ້ໃຊ້ໃນອິນເຕີເນັດ. ໂດຍສະເພາະ, ບົດຮຽນຕໍ່ໄປຈະປຶກສາຫາລືກ່ຽວກັບການເຮັດວຽກຂອງການກັ່ນຕອງເວັບແລະການຄວບຄຸມຄໍາຮ້ອງສະຫມັກ. ເພື່ອບໍ່ໃຫ້ພາດມັນ, ຕິດຕາມການອັບເດດໃນຊ່ອງທາງຕໍ່ໄປນີ້:

ຢູ່​ທູບ
ГруппаВконтакте
Yandex Zen
ເວັບໄຊທ໌້ຂອງພວກເຮົາ
ຊ່ອງ Telegram

ແຫຼ່ງຂໍ້ມູນ: www.habr.com