🥇8. Check Point Getting Started R80.20. NAT

Velkommen til den 8. leksjonen. Denne leksjonen er veldig viktig, for etter å ha fullført den, vil du kunne sette opp internettilgang for brukerne dine! Må innrømme at mange slutter med oppsettet her 🙂 Men vi er ikke en av dem! Og vi har mange spennende ting foran oss. Nå, la oss gå videre til temaet for leksjonen vår.

Som du kanskje allerede har gjettet, skal vi i dag snakke om NAT. Jeg er sikker på at alle som ser på denne leksjonen vet hva NAT er. Derfor skal vi ikke gå i detalj om hvordan det fungerer. Jeg vil bare gjenta at NAT er en adresseoversettelsesteknologi som ble utviklet for å spare “hvite”, dvs. offentlige IP-adresser (de adressene som ruteres på internett).

I den forrige leksjonen har du kanskje allerede lagt merke til at NAT er en del av Access Control-politikken. Dette er ganske logisk. I SmartConsole er NAT-innstillingene plassert under en egen fane. Vi skal absolutt ta en tur dit i dag. Generelt sett skal vi i denne leksjonen diskutere typer av NAT, sette opp internettilgang og se på et klassisk eksempel med port forwarding. Det vil si den funksjonaliteten som oftest brukes i selskaper. La oss starte.

To måter å sette opp NAT på

Check Point støtter to måter å sette opp NAT på: Automatisk NAT og Manuell NAT. For hver av disse metodene finnes det to typer oversettelse: Hide NAT og Statisk NAT. Generelt sett ser det ut som dette bildet:

Jeg forstår at det sannsynligvis ser ganske komplisert ut nå, så la oss se nærmere på hver type.

Automatisk NAT

Dette er den raskeste og enkleste måten. NAT-innstillingen kan gjøres bokstavelig talt med to klikk. Alt du trenger å gjøre er å åpne egenskapene til det aktuelle objektet (enten det er gateway, nettverk, vert osv.), gå til NAT-fanen og merke av for “Add automatic address translation rules”. Her vil du også se feltet — metoden for oversettelse. Som allerede nevnt er det to.

1. Automatisk Hide NAT

Som standard er dette Hide. Det vil si at i dette tilfellet vil nettverket vårt “skjule seg” bak en offentlig IP-adresse. Denne adressen kan være hentet fra det eksterne grensesnittet til gatewayen, eller man kan spesifisere en annen. Denne typen NAT kalles ofte dynamisk eller many-to-one, siden flere interne adresser oversættes til én ekstern. Dette er selvfølgelig muligt ved at anvende forskellige porte under oversættelsen. Hide NAT fungerer kun i den ene retning (fra indersiden til ydersiden) og er ideelt til lokale netværk, hvor man blot skal muliggøre adgang til internettet. Hvis trafikken initieres fra det eksterne netværk, vil NAT naturligvis ikke fungere. Det tilføjer en ekstra beskyttelse for interne netværk.

2. Automatisk Statisk NAT

Hide NAT har mange fordele, men måske har du brug for at sikre adgang fra det eksterne netværk til en intern server. For eksempel til en DMZ-server, som i vores eksempel. I så fald kan Statisk NAT hjælpe. Det kan også sættes op ret simpelt. Det er tilstrækkeligt at ændre oversættelsesmetoden til Statisk i objektets egenskaber og angive den offentlige IP-adresse, der skal bruges til NAT (se billedet ovenfor). Det vil sige, hvis nogen fra det eksterne netværk henvender sig til denne adresse (via hvilken som helst port!), vil anmodningen blive videresendt til serveren med den interne IP-adresse. Desuden, hvis selve serveren går på internettet, vil dens IP-adresse også ændres til den adresse, vi har angivet. Det vil sige, at dette er NAT i begge retninger. Det kaldes også one-to-one og anvendes nogle gange til offentlige servere. Hvorfor 'nogle gange'? Fordi det har en stor ulempe — den offentlige IP-adresse er fuldt optaget (alle porte). Man kan ikke bruge én offentlig adresse til forskellige interne servere (med forskellige porte). For eksempel HTTP, FTP, SSH, SMTP osv. Denne problemstilling kan løses med Manuel NAT.

Manuell NAT

Funktionen ved Manuel NAT er, at man selv skal oprette oversættelsesregler. I den specifikke fane for NAT i Adgangskontrolpolitik. Manuel NAT gør det muligt at oprette mere komplekse oversættelsesregler. Du har adgang til felterne: Original Kilde, Original Destination, Original Tjenester, Oversat Kilde, Oversat Destination, Oversatte Tjenester.

Der findes også to typer NAT her — Hide og Statisk.

1. Manuel Hide NAT

Hide NAT kan i dette tilfælde bruges i forskellige situationer. Her er et par eksempler:

Når man henvender sig til en bestemt ressource fra det lokale netværk, vil man bruge en anden adresse til oversættelsen (forskellig fra den, der anvendes i alle andre tilfælde).
I det lokale nettverket er det et stort antall datamaskiner. Automatic Hide NAT vil ikke fungere her, da det i denne innstillingen kun er mulig å ha én offentlig IP-adresse, som datamaskinene vil "skjule seg bak". Det kan rett og slett bli for få porter tilgjengelig for oversettelse. Som du husker, er det litt over 65 tusen. Hver datamaskin kan generere hundrevis av sesjoner. Manual Hide NAT lar deg angi en rekke offentlige IP-adresser. Dette øker dermed antallet mulige NAT-oversettelser.

2. Manual Static NAT

Static NAT brukes mye oftere ved manuell oppretting av oversettelsesregler. Et klassisk eksempel er port forwarding. En situasjon der en ekstern nettverk ber om tilgang til en offentlig IP-adresse (som kan tilhøre en gateway) via en bestemt port, og forespørselen oversettes til en intern ressurs. I vårt laboratorieforsøk vil vi åpne port 80 til DMZ-serveren.