Hei! Velkommen til den femte leksjonen i kurset . PÄ vi har sett pÄ hvordan sikkerhetspolicyene fungerer. NÄ er det pÄ tide Ä slippe interne brukere ut pÄ Internett. I denne leksjonen skal vi se pÄ hvordan NAT-mekanismen fungerer.
I tillegg til Ä slippe brukere ut pÄ Internett, skal vi ogsÄ se pÄ metoden for Ä publisere interne tjenester. Under finner du en kort teori fra videoen samt selve videoen.
NAT-teknologi (Network Address Translation) er en mekanisme for konvertering av IP-adresser i nettverkspakker. I Fortinet-termer deles NAT opp i to typer: Source NAT og Destination NAT.
Navnene sier sitt â ved bruk av Source NAT endres kildeadressen, mens ved bruk av Destination NAT endres destinasjonsadressen.
I tillegg finnes det flere konfigurasjonsalternativer for NAT â Firewall Policy NAT og Central NAT.
Ved bruk av den fĂžrste varianten mĂ„ Source og Destination NAT konfigureres for hver sikkerhetspolicy. I sĂ„ fall bruker Source NAT enten IP-adressen til utgĂ„ende grensesnitt eller en forhĂ„ndsinnstilt IP-pool. Destination NAT bruker et forhĂ„ndsinnstilt objekt (sĂ„kalt VIP â Virtual IP) som destinasjonsadresse.
Ved bruk av Central NAT konfigureres Source og Destination NAT umiddelbart for hele enheten (eller det virtuelle domenet). I sÄ fall brukes NAT-innstillinger pÄ alle policyer, basert pÄ reglene for Source NAT og Destination NAT.
Source NAT-regler konfigureres i den sentrale Source NAT-policyen. Destination NAT konfigureres fra DNAT-menyen ved hjelp av IP-adresser.
I denne leksjonen skal vi bare se pĂ„ Firewall Policy NAT â erfaring viser at denne konfigurasjonen er langt vanligere enn Central NAT.
Som jeg allerede har nevnt, nĂ„r du konfigurerer Firewall Policy Source NAT, finnes det to innstillingsalternativer: Ă„ erstatte IP-adressen med adressen til utgĂ„ende grensesnitt, eller med en IP-adresse fra en forhĂ„ndsinnstilt IP-pool. Dette ser omtrent slik ut som vist pĂ„ bildet nedenfor. SĂ„ vil jeg kort gĂ„ gjennom mulige pooler, men i praksis vil vi kun vurdere alternativet med adressen til utgĂ„ende grensesnitt â i vĂ„rt oppsett er ikke IP-adressepooler nĂždvendige.
IP-poolen definerer en eller flere IP-adresser som vil bli brukt som kildeadresse i lÞpet av sesjonen. Disse IP-adressene vil bli brukt i stedet for IP-adressen til utgÄende grensesnitt pÄ FortiGate.
Det finnes 4 typer IP-pooler som kan konfigureres pÄ FortiGate:
- Overload
- One-to-one
- Fixed Port Range
- Port block allocation
Overload er den primÊre IP-poolen. I den konverteres IP-adressene etter en mange-til-en eller mange-til-mange ordning. Portoversetting brukes ogsÄ. La oss se pÄ ordningen beskrevet i illustrasjonen nedenfor. Vi har et paket med bestemte kilder og destinationsfelter. NÄr det faller under en brannmurregel som tillater denne pakken tilgang til det eksterne nettverket, fÄr den anvendt NAT-regelen. Resultatet er at kildfeltet i pakken blir erstattet med en av IP-adressene angitt i IP-poolen.
I One-to-One-poolen defineres ogsĂ„ flere eksterne IP-adresser. NĂ„r en pakke faller under en brannmurregel med aktivert NAT-regel, blir IP-adressen i kildfeltet endret til en av adressene som tilhĂžrer denne poolen. Erstatningen skjer ifĂžlge regelen â âfĂžrst til mĂžlla, fĂžrst til serviceâ. For Ă„ illustrere dette bedre, la oss se et eksempel.
En datamaskin fra det lokale nettverket med IP-adresse 192.168.1.25 sender en pakke til det eksterne nettverket. Den faller under NAT-regelen, og kildfeltet endres til den fÞrste IP-adressen fra poolen, i vÄrt tilfelle 83.235.123.5. Det er viktig Ä merke seg at portoversetting ikke brukes med denne IP-poolen. Hvis deretter en datamaskin fra det samme lokale nettverket, med adressen 192.168.1.35, sender en pakke til det eksterne nettverket og ogsÄ faller under denne NAT-regelen, vil IP-adressen i kildfeltet til denne pakken endres til 83.235.123.6. Hvis det ikke er flere adresser i poolen, vil pÄfÞlgende tilkoblinger bli avvist. Det vil si at under denne NAT-regelen kan opptil 4 datamaskiner vÊre involvert samtidig.
Fixed Port Range kobler sammen interne og eksterne IP-adresseomrĂ„der. Portoversetting er ogsĂ„ deaktivert. Dette gjĂžr det mulig Ă„ fast knytte starten eller slutten av en intern IP-adressepool til starten eller slutten av en ekstern IP-adressepool. I eksempelet nedenfor kobles den interne adressen 192.168.1.25 â 192.168.1.28 til den eksterne adressen 83.235.123.5 â 83.235.125.8.
Port Block Allocation â denne IP-pul brukes til Ă„ tildele en portblokk for brukere av IP-pulen. I tillegg til selve IP-pulen mĂ„ det ogsĂ„ spesifiseres to parametere â blokkstĂžrrelse og antall blokker tildelt for hver bruker.
La oss nÄ se pÄ teknologien for Destination NAT. Den er basert pÄ virtuelle IP-adresser (VIP). For pakker som faller inn under reglene for Destination NAT endres IP-adressen i feltet Destination: vanligvis byttes den offentlige internettadressen mot den private adressen til serveren. Virtuelle IP-adresser brukes i brannmurpolitikker som Destination-felt.
Den standard typen virtuelle IP-adresser er Static NAT. Dette er en en-til-en tilknytning mellom eksterne og interne adresser.
I stedet for Static NAT, kan virtuelle adresser begrenses til Ä videresende spesifikke porter. For eksempel kan tilkoblinger til den eksterne adressen pÄ port 8080 knyttes til tilkoblingen til den interne IP-adressen via port 80.
I eksemplet nedenfor prÞver datamaskinen med adressen 172.17.10.25 Ä fÄ tilgang til adressen 83.235.123.20 pÄ port 80. Denne forbindelsen faller inn under reglene for DNAT, sÄ mÄl-IP-adressen endres til 10.10.10.10.
Videoen tar for seg teorien, samt gir praktiske eksempler pÄ innstillingene for Source og Destination NAT.
I de kommende lektene vil vi gÄ videre til Ä sikre brukerne pÄ internett. Spesielt i neste leksjon vil funksjonaliteten for webfiltrering og applikasjonskontroll bli gjennomgÄtt. For Ä ikke gÄ glipp av dette, fÞlg med pÄ oppdateringene pÄ fÞlgende kanaler:
Kilde: habr.com
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish