५. फोर्टिनेट सुरु गर्दै v5। NAT

अभिवादन! पाठ्यक्रमको पाँचौं पाठमा स्वागत छ Fortinet सुरु गर्दै... माथि अन्तिम पाठ हामीले सुरक्षा नीतिहरूले कसरी काम गर्छ भनेर पत्ता लगाएका छौं। अब स्थानीय प्रयोगकर्ताहरूलाई इन्टरनेटमा रिलिज गर्ने समय हो। यो गर्नको लागि, यस पाठमा हामी NAT संयन्त्रको सञ्चालनलाई हेर्नेछौं।
प्रयोगकर्ताहरूलाई इन्टरनेटमा रिलिज गर्नुको अतिरिक्त, हामी आन्तरिक सेवाहरू प्रकाशित गर्ने विधि पनि हेर्नेछौं। कट तल भिडियोबाट एक संक्षिप्त सिद्धान्त, साथै भिडियो पाठ आफै हो।
NAT (नेटवर्क ठेगाना अनुवाद) प्रविधि नेटवर्क प्याकेटहरूको आईपी ठेगानाहरू रूपान्तरण गर्ने संयन्त्र हो। Fortinet सर्तहरूमा, NAT दुई प्रकारमा विभाजित छ: स्रोत NAT र गन्तव्य NAT।

नामहरू आफै बोल्छन् - स्रोत NAT प्रयोग गर्दा, स्रोत ठेगाना परिवर्तन हुन्छ, गन्तव्य NAT प्रयोग गर्दा, गन्तव्य ठेगाना परिवर्तन हुन्छ।

थप रूपमा, त्यहाँ NAT - फायरवाल नीति NAT र केन्द्रीय NAT सेटअप गर्नका लागि धेरै विकल्पहरू छन्।

पहिलो विकल्प प्रयोग गर्दा, प्रत्येक सुरक्षा नीतिको लागि स्रोत र गन्तव्य NAT कन्फिगर गरिनुपर्छ। यस अवस्थामा, स्रोत NAT ले बाहिर जाने इन्टरफेसको IP ठेगाना वा पूर्व-कन्फिगर गरिएको IP पूल प्रयोग गर्दछ। गन्तव्य NAT ले गन्तव्य ठेगानाको रूपमा पूर्व-कन्फिगर गरिएको वस्तु (तथाकथित VIP - भर्चुअल आईपी) प्रयोग गर्दछ।

केन्द्रीय NAT प्रयोग गर्दा, स्रोत र गन्तव्य NAT कन्फिगरेसन सम्पूर्ण यन्त्र (वा भर्चुअल डोमेन) को लागि एकै पटकमा गरिन्छ। यस अवस्थामा, स्रोत NAT र गन्तव्य NAT नियमहरूको आधारमा NAT सेटिङहरू सबै नीतिहरूमा लागू हुन्छन्।

स्रोत NAT नियमहरू केन्द्रीय स्रोत NAT नीतिमा कन्फिगर गरिएका छन्। गन्तव्य NAT IP ठेगानाहरू प्रयोग गरेर DNAT मेनुबाट कन्फिगर गरिएको छ।

यस पाठमा, हामी फायरवाल नीति NAT लाई मात्र विचार गर्नेछौं - अभ्यासले देखाउँछ, यो कन्फिगरेसन विकल्प केन्द्रीय NAT भन्दा धेरै सामान्य छ।

मैले पहिले नै भनेको छु, फायरवाल नीति स्रोत NAT कन्फिगर गर्दा, त्यहाँ दुईवटा कन्फिगरेसन विकल्पहरू छन्: IP ठेगानालाई बाहिर जाने इन्टरफेसको ठेगानासँग, वा IP ठेगानाहरूको पूर्व कन्फिगर गरिएको पूलबाट IP ठेगानाको साथ। यो तलको चित्रमा देखाइएको जस्तो देखिन्छ। अर्को, म सम्भावित पोखरीहरूको बारेमा छोटकरीमा कुरा गर्नेछु, तर व्यवहारमा हामी बाहिर जाने इन्टरफेसको ठेगानाको विकल्पलाई मात्र विचार गर्नेछौं - हाम्रो लेआउटमा, हामीलाई आईपी ठेगाना पूलहरू आवश्यक पर्दैन।

एक आईपी पूलले एक वा धेरै आईपी ठेगानाहरू परिभाषित गर्दछ जुन सत्रको समयमा स्रोत ठेगानाको रूपमा प्रयोग गरिनेछ। यी IP ठेगानाहरू FortiGate बाहिर जाने इन्टरफेस IP ठेगानाको सट्टा प्रयोग गरिनेछ।

त्यहाँ 4 प्रकारका आईपी पूलहरू छन् जुन फोर्टिगेटमा कन्फिगर गर्न सकिन्छ:

• अत्यधिक
• एक-एक
• स्थिर पोर्ट दायरा
• पोर्ट ब्लक आवंटन

ओभरलोड मुख्य आईपी पूल हो। यसले धेरै-देखि-एक वा धेरै-देखि-धेरै योजना प्रयोग गरेर IP ठेगानाहरूलाई रूपान्तरण गर्दछ। पोर्ट अनुवाद पनि प्रयोग गरिन्छ। तलको चित्रमा देखाइएको सर्किटलाई विचार गर्नुहोस्। हामीसँग परिभाषित स्रोत र गन्तव्य क्षेत्रहरूको प्याकेज छ। यदि यो फायरवाल नीति अन्तर्गत आउँछ जसले यो प्याकेटलाई बाह्य नेटवर्क पहुँच गर्न अनुमति दिन्छ, यसमा NAT नियम लागू हुन्छ। नतिजाको रूपमा, यस प्याकेटमा स्रोत क्षेत्रलाई आईपी पूलमा निर्दिष्ट गरिएको आईपी ठेगानाहरू मध्ये एकसँग प्रतिस्थापन गरिएको छ।

A One to One पूलले धेरै बाह्य IP ठेगानाहरू पनि परिभाषित गर्दछ। जब एक प्याकेट NAT नियम सक्षम भएको फायरवाल नीति अन्तर्गत पर्दछ, स्रोत फिल्डमा आईपी ठेगाना यस पूलसँग सम्बन्धित ठेगानाहरू मध्ये एकमा परिवर्तन हुन्छ। प्रतिस्थापनले "फर्स्ट इन, फर्स्ट आउट" नियम पछ्याउँछ। यसलाई स्पष्ट गर्न, एउटा उदाहरण हेरौं।

IP ठेगाना 192.168.1.25 भएको स्थानीय नेटवर्कमा रहेको कम्प्युटरले बाह्य नेटवर्कमा प्याकेट पठाउँछ। यो NAT नियम अन्तर्गत पर्दछ, र स्रोत क्षेत्र पूलबाट पहिलो आईपी ठेगानामा परिवर्तन गरिएको छ, हाम्रो अवस्थामा यो 83.235.123.5 हो। यो नोट गर्न लायक छ कि यो आईपी पूल प्रयोग गर्दा, पोर्ट अनुवाद प्रयोग गरिदैन। यदि यस पछि एउटै स्थानीय नेटवर्कको कम्प्युटरले, 192.168.1.35 को ठेगाना सहित, बाह्य नेटवर्कमा प्याकेट पठाउँछ र यो NAT नियम अन्तर्गत पर्दछ भने, यस प्याकेटको स्रोत क्षेत्रको IP ठेगानामा परिवर्तन हुनेछ। ८३.२३५.१२३.६। यदि पूलमा कुनै थप ठेगानाहरू बाँकी छैनन् भने, त्यसपछिका जडानहरू अस्वीकार गरिनेछ। त्यो हो, यस अवस्थामा, 83.235.123.6 कम्प्युटरहरू एकै समयमा हाम्रो NAT नियम अन्तर्गत पर्न सक्छन्।

निश्चित पोर्ट दायराले IP ठेगानाहरूको आन्तरिक र बाह्य दायराहरू जडान गर्दछ। पोर्ट अनुवाद पनि असक्षम गरिएको छ। यसले तपाईंलाई स्थायी रूपमा आन्तरिक IP ठेगानाहरूको पूलको सुरु वा अन्त्य बाह्य IP ठेगानाहरूको पूलको सुरु वा अन्त्यसँग सम्बद्ध गर्न अनुमति दिन्छ। तलको उदाहरणमा, आन्तरिक ठेगाना पूल 192.168.1.25 - 192.168.1.28 लाई बाह्य ठेगाना पूल 83.235.123.5 - 83.235.125.8 मा म्याप गरिएको छ।

पोर्ट ब्लक आवंटन - यो आईपी पूल आईपी पूल प्रयोगकर्ताहरूको लागि पोर्टहरूको ब्लक आवंटित गर्न प्रयोग गरिन्छ। आईपी ​​पूलको अतिरिक्त, दुई प्यारामिटरहरू पनि यहाँ निर्दिष्ट गरिनुपर्छ - ब्लक साइज र प्रत्येक प्रयोगकर्ताको लागि आवंटित ब्लकहरूको संख्या।

अब गन्तव्य NAT प्रविधि हेरौं। यो भर्चुअल आईपी ठेगाना (VIP) मा आधारित छ। गन्तव्य NAT नियमहरू अन्तर्गत पर्ने प्याकेटहरूको लागि, गन्तव्य क्षेत्रमा IP ठेगाना परिवर्तन हुन्छ: सामान्यतया सार्वजनिक इन्टरनेट ठेगाना सर्भरको निजी ठेगानामा परिवर्तन हुन्छ। भर्चुअल आईपी ठेगानाहरू फायरवाल नीतिहरूमा गन्तव्य क्षेत्रको रूपमा प्रयोग गरिन्छ।

भर्चुअल आईपी ठेगानाहरूको मानक प्रकार स्थिर NAT हो। यो बाह्य र आन्तरिक ठेगानाहरू बीच एक-देखि-एक पत्राचार हो।

Static NAT को सट्टा, भर्चुअल ठेगानाहरू विशिष्ट पोर्टहरू फर्वार्ड गरेर सीमित गर्न सकिन्छ। उदाहरण को लागी, पोर्ट 8080 मा एक आन्तरिक आईपी ठेगाना को एक जडान संग पोर्ट 80 मा एक बाह्य ठेगाना संग जडान जोड्नुहोस्।

तलको उदाहरणमा, 172.17.10.25 ठेगाना भएको कम्प्युटरले पोर्ट 83.235.123.20 मा 80 ठेगाना पहुँच गर्न प्रयास गरिरहेको छ। यो जडान DNAT नियम अन्तर्गत पर्दछ, त्यसैले गन्तव्य IP ठेगाना 10.10.10.10 मा परिवर्तन गरिएको छ।

भिडियोले सिद्धान्तको बारेमा छलफल गर्दछ र स्रोत र गन्तव्य NAT कन्फिगर गर्ने व्यावहारिक उदाहरणहरू पनि प्रदान गर्दछ।

अर्को पाठहरूमा हामी इन्टरनेटमा प्रयोगकर्ताको सुरक्षा सुनिश्चित गर्न अगाडि बढ्नेछौं। विशेष रूपमा, अर्को पाठले वेब फिल्टरिङ र एप्लिकेसन नियन्त्रणको कार्यक्षमताबारे छलफल गर्नेछ। यसलाई नछुटाउनको लागि, निम्न च्यानलहरूमा अद्यावधिकहरू पालना गर्नुहोस्:

Youtube
Vkontakte समुदाय
Yandex Zen
हाम्रो वेबसाइट
टेलिग्राम च्यानल

स्रोत: www.habr.com