5. Fortinet प्रारंभ करणे v6.0. NAT

शुभेच्छा! अभ्यासक्रमाच्या पाचव्या धड्यात आपले स्वागत आहे Fortinet प्रारंभ करणे. चालू शेवटचा धडा सुरक्षा धोरणे कशी कार्य करतात हे आम्ही शोधून काढले आहे. आता स्थानिक वापरकर्त्यांना इंटरनेटवर सोडण्याची वेळ आली आहे. हे करण्यासाठी, या धड्यात आपण NAT यंत्रणेचे कार्य पाहू.
वापरकर्त्यांना इंटरनेटवर सोडण्याव्यतिरिक्त, आम्ही अंतर्गत सेवा प्रकाशित करण्यासाठी एक पद्धत देखील पाहू. कटच्या खाली व्हिडिओमधील एक संक्षिप्त सिद्धांत तसेच व्हिडिओ धडा देखील आहे.
NAT (नेटवर्क अॅड्रेस ट्रान्सलेशन) तंत्रज्ञान ही नेटवर्क पॅकेट्सचे IP पत्ते रूपांतरित करण्याची यंत्रणा आहे. फोर्टिनेट शब्दात, NAT दोन प्रकारांमध्ये विभागले गेले आहे: स्त्रोत NAT आणि गंतव्य NAT.

नावे स्वतःसाठी बोलतात - स्त्रोत NAT वापरताना, स्त्रोत पत्ता बदलतो, गंतव्य NAT वापरताना, गंतव्य पत्ता बदलतो.

याव्यतिरिक्त, NAT - फायरवॉल पॉलिसी NAT आणि Central NAT सेट करण्यासाठी अनेक पर्याय देखील आहेत.

पहिला पर्याय वापरताना, प्रत्येक सुरक्षा धोरणासाठी स्त्रोत आणि गंतव्य NAT कॉन्फिगर केले जाणे आवश्यक आहे. या प्रकरणात, स्त्रोत NAT एकतर आउटगोइंग इंटरफेसचा IP पत्ता किंवा पूर्व-कॉन्फिगर केलेला IP पूल वापरतो. गंतव्य NAT पूर्व-कॉन्फिगर केलेले ऑब्जेक्ट (तथाकथित VIP - व्हर्च्युअल IP) गंतव्य पत्ता म्हणून वापरते.

सेंट्रल NAT वापरताना, संपूर्ण डिव्हाइससाठी (किंवा व्हर्च्युअल डोमेन) एकाच वेळी स्त्रोत आणि गंतव्य NAT कॉन्फिगरेशन केले जाते. या प्रकरणात, स्त्रोत NAT आणि गंतव्य NAT नियमांवर अवलंबून, NAT सेटिंग्ज सर्व धोरणांवर लागू होतात.

स्रोत NAT नियम केंद्रीय स्रोत NAT धोरणामध्ये कॉन्फिगर केले आहेत. IP पत्ते वापरून DNAT मेनूमधून गंतव्य NAT कॉन्फिगर केले आहे.

या धड्यात, आम्ही फक्त फायरवॉल पॉलिसी NAT चा विचार करू - सराव दाखवल्याप्रमाणे, हा कॉन्फिगरेशन पर्याय सेंट्रल NAT पेक्षा जास्त सामान्य आहे.

मी आधीच म्हटल्याप्रमाणे, फायरवॉल पॉलिसी सोर्स NAT कॉन्फिगर करताना, दोन कॉन्फिगरेशन पर्याय आहेत: आउटगोइंग इंटरफेसच्या पत्त्यासह IP पत्ता बदलणे किंवा IP पत्त्यांच्या पूर्व कॉन्फिगर केलेल्या पूलमधील IP पत्त्यासह. हे खालील आकृतीमध्ये दर्शविल्यासारखे काहीतरी दिसते. पुढे, मी संभाव्य पूल्सबद्दल थोडक्यात बोलेन, परंतु सराव मध्ये आम्ही फक्त आउटगोइंग इंटरफेसच्या पत्त्यासह पर्यायाचा विचार करू - आमच्या लेआउटमध्ये, आम्हाला आयपी अॅड्रेस पूलची आवश्यकता नाही.

आयपी पूल एक किंवा अधिक IP पत्ते परिभाषित करतो जे सत्रादरम्यान स्त्रोत पत्ता म्हणून वापरले जातील. हे IP पत्ते FortiGate आउटगोइंग इंटरफेस IP पत्त्याऐवजी वापरले जातील.

फोर्टिगेटवर 4 प्रकारचे आयपी पूल कॉन्फिगर केले जाऊ शकतात:

• ओव्हरलोड
• एक-एक
• स्थिर पोर्ट रेंज
• पोर्ट ब्लॉक वाटप

ओव्हरलोड हा मुख्य आयपी पूल आहे. हे अनेक-टू-वन किंवा अनेक-टू-मनी योजना वापरून IP पत्ते रूपांतरित करते. पोर्ट भाषांतर देखील वापरले जाते. खालील आकृतीमध्ये दर्शविलेल्या सर्किटचा विचार करा. आमच्याकडे परिभाषित स्त्रोत आणि गंतव्य फील्ड असलेले पॅकेज आहे. जर ते फायरवॉल धोरणांतर्गत येत असेल जे या पॅकेटला बाह्य नेटवर्कमध्ये प्रवेश करण्यास अनुमती देते, तर त्यावर NAT नियम लागू केला जातो. परिणामी, या पॅकेटमध्ये स्त्रोत फील्ड आयपी पूलमध्ये निर्दिष्ट केलेल्या IP पत्त्यांपैकी एकाने बदलले आहे.

ए वन टू वन पूल अनेक बाह्य IP पत्ते देखील परिभाषित करतो. जेव्हा पॅकेट NAT नियम सक्षम असलेल्या फायरवॉल धोरणाच्या अंतर्गत येते, तेव्हा स्त्रोत फील्डमधील IP पत्ता या पूलशी संबंधित पत्त्यांपैकी एकावर बदलला जातो. बदली "फर्स्ट इन, फर्स्ट आउट" नियमाचे पालन करते. हे स्पष्ट करण्यासाठी, एक उदाहरण पाहू.

IP पत्ता 192.168.1.25 असलेला स्थानिक नेटवर्कवरील संगणक बाह्य नेटवर्कला एक पॅकेट पाठवतो. हे NAT नियमांतर्गत येते आणि स्त्रोत फील्ड पूलमधील पहिल्या IP पत्त्यावर बदलले जाते, आमच्या बाबतीत ते 83.235.123.5 आहे. हे लक्षात घेण्यासारखे आहे की हा आयपी पूल वापरताना, पोर्ट भाषांतर वापरले जात नाही. यानंतर जर त्याच स्थानिक नेटवर्कमधील संगणक, 192.168.1.35 चा पत्ता असलेला, बाह्य नेटवर्कला पॅकेट पाठवत असेल आणि तो देखील या NAT नियमांतर्गत येतो, तर या पॅकेटच्या स्त्रोत फील्डमधील IP पत्ता बदलेल. ८३.२३५.१२३.६. पूलमध्ये आणखी कोणतेही पत्ते शिल्लक नसल्यास, त्यानंतरचे कनेक्शन नाकारले जातील. म्हणजेच, या प्रकरणात, 83.235.123.6 संगणक एकाच वेळी आमच्या NAT नियमात येऊ शकतात.

निश्चित पोर्ट रेंज IP पत्त्यांच्या अंतर्गत आणि बाह्य श्रेणींना जोडते. पोर्ट भाषांतर देखील अक्षम केले आहे. हे तुम्हाला अंतर्गत IP पत्त्यांच्या पूलची सुरुवात किंवा शेवट बाह्य IP पत्त्यांच्या पूलच्या सुरूवातीस किंवा शेवटाशी कायमस्वरूपी संबद्ध करण्याची अनुमती देते. खालील उदाहरणामध्ये, अंतर्गत पत्ता पूल 192.168.1.25 - 192.168.1.28 बाह्य पत्त्याच्या पूल 83.235.123.5 - 83.235.125.8 वर मॅप केला आहे.

पोर्ट ब्लॉक वाटप - हा आयपी पूल आयपी पूल वापरकर्त्यांसाठी पोर्ट ब्लॉक वाटप करण्यासाठी वापरला जातो. आयपी पूल व्यतिरिक्त, येथे दोन पॅरामीटर्स देखील निर्दिष्ट करणे आवश्यक आहे - ब्लॉक आकार आणि प्रत्येक वापरकर्त्यासाठी वाटप केलेल्या ब्लॉक्सची संख्या.

आता Destination NAT तंत्रज्ञान पाहू. हे व्हर्च्युअल IP पत्ते (VIP) वर आधारित आहे. डेस्टिनेशन NAT नियमांतर्गत येणाऱ्या पॅकेट्ससाठी, गंतव्य फील्डमधील IP पत्ता बदलतो: सहसा सार्वजनिक इंटरनेट पत्ता सर्व्हरच्या खाजगी पत्त्यावर बदलतो. व्हर्च्युअल IP पत्ते फायरवॉल धोरणांमध्ये गंतव्य क्षेत्र म्हणून वापरले जातात.

व्हर्च्युअल IP पत्त्यांचा मानक प्रकार स्टॅटिक NAT आहे. हा बाह्य आणि अंतर्गत पत्त्यांमधील एक-टू-वन पत्रव्यवहार आहे.

स्टॅटिक NAT ऐवजी, विशिष्ट पोर्ट फॉरवर्ड करून आभासी पत्ते मर्यादित केले जाऊ शकतात. उदाहरणार्थ, पोर्ट 8080 वरील बाह्य पत्त्याशी जोडणी पोर्ट 80 वरील अंतर्गत IP पत्त्याशी जोडणे.

खालील उदाहरणात, 172.17.10.25 पत्ता असलेला संगणक पोर्ट 83.235.123.20 वरील 80 पत्त्यावर प्रवेश करण्याचा प्रयत्न करत आहे. हे कनेक्शन DNAT नियमांतर्गत येते, म्हणून गंतव्य IP पत्ता 10.10.10.10 असा बदलला आहे.

व्हिडिओ सिद्धांतावर चर्चा करतो आणि स्त्रोत आणि गंतव्य NAT कॉन्फिगर करण्याची व्यावहारिक उदाहरणे देखील प्रदान करतो.

पुढील धड्यांमध्ये आम्ही इंटरनेटवर वापरकर्त्याची सुरक्षितता सुनिश्चित करण्यासाठी पुढे जाऊ. विशेषतः, पुढील धडा वेब फिल्टरिंग आणि ऍप्लिकेशन कंट्रोलच्या कार्यक्षमतेवर चर्चा करेल. ते चुकवू नये म्हणून, खालील चॅनेलवरील अद्यतनांचे अनुसरण करा:

यु ट्युब
ग्रुप Вkontakte
यांडेक्स झेन
आमची वेबसाइट
टेलिग्राम चॅनेल

स्त्रोत: www.habr.com