Witam! Witaj w piątej lekcji kursu . Na Omawialiśmy już pracę polityk bezpieczeństwa. Teraz nadszedł czas, aby wpuścić lokalnych użytkowników do Internetu. W tej lekcji przyjrzymy się mechanizmowi NAT.
Oprócz wpuszczania użytkowników do Internetu, omówimy również metodę publikowania usług wewnętrznych. Poniżej znajduje się krótka teoria z wideo, a także sam materiał wideo.
Technologia NAT (Network Address Translation) to mechanizm przekształcania adresów IP pakietów sieciowych. W terminologii Fortinet NAT dzieli się na dwa typy: Source NAT i Destination NAT.
Nazwy mówią same za siebie — przy użyciu Source NAT zmienia się adres źródłowy, a przy użyciu Destination NAT — adres docelowy.
Ponadto, istnieje kilka opcji konfiguracji NAT-a — Firewall Policy NAT i Central NAT.
W przypadku pierwszej opcji Source i Destination NAT muszą być skonfigurowane dla każdej polityki bezpieczeństwa. W takim przypadku Source NAT używa albo adresu IP interfejsu wychodzącego, albo wstępnie skonfigurowanej puli adresów IP. Destination NAT wykorzystuje wstępnie skonfigurowany obiekt (tzw. VIP — Virtual IP) jako adres docelowy.
Przy użyciu Central NAT konfiguracja Source i Destination NAT odbywa się od razu dla całego urządzenia (lub wirtualnej domeny). W takim przypadku parametry NAT są stosowane do wszystkich polityk na podstawie reguł Source NAT i Destination NAT.
Reguły Source NAT są konfigurowane w centralnej polityce Source NAT. Destination NAT konfiguruje się z menu DNAT przy użyciu adresów IP.
W tej lekcji skupimy się tylko na Firewall Policy NAT — jak pokazuje praktyka, ta opcja konfiguracji występuje znacznie częściej niż Central NAT.
Jak już mówiłem, przy konfiguracji Firewall Policy Source NAT istnieją dwie opcje ustawienia: zmiana adresu IP na adres interfejsu wychodzącego albo na adres IP z wstępnie skonfigurowanej puli adresów IP. Wygląda to mniej więcej tak, jak pokazano na poniższym rysunku. Następnie krótko opowiem o możliwych pulach, ale w praktyce zajmiemy się tylko opcją z adresem interfejsu wychodzącego — w naszym modelu pule adresów IP nam nie są potrzebne.
Pula IP definiuje jeden lub kilka adresów IP, które będą używane jako adres źródłowy w trakcie sesji. Te adresy IP będą stosowane zamiast adresu IP interfejsu wychodzącego FortiGate.
Istnieją 4 typy pul IP, które można skonfigurować w FortiGate:
- Przeciążenie
- Jeden do jednego
- Zakres portów stałych
- Przydział bloków portów
Przeciążenie jest główną pulą IP. W niej adresy IP są przekształcane zgodnie z schematem wiele do jednego lub wiele do wielu. Używane jest również translacja portów. Rozważmy schemat przedstawiony na poniższym rysunku. Mamy pakiet z określonymi polami Source i Destination. Gdy ten pakiet trafi pod politykę zapory, która zezwala na jego dostęp do sieci zewnętrznej, stosowane jest reguła NAT. W wyniku tego pole Source w tym pakiecie jest zastępowane jednym z adresów IP wskazanych w puli IP.
W puli typu Jeden do jednego określona jest również grupa zewnętrznych adresów IP. Gdy pakiet trafi pod politykę zapory z włączoną regułą NAT, adres IP w polu Source zostaje zmieniony na jeden z adresów należących do tej puli. Zmiana następuje zgodnie z zasadą - „pierwszy przyszedł, pierwszy obsłużony”. Aby to lepiej zrozumieć, rozważmy przykład.
Komputer z lokalnej sieci z adresem IP 192.168.1.25 wysyła pakiet do sieci zewnętrznej. Trafia on pod regułę NAT, a pole Source zostaje zmienione na pierwszy adres IP z puli, w naszym przypadku to 83.235.123.5. Należy zauważyć, że przy korzystaniu z tej puli IP translacja portów nie jest wykorzystywana. Jeśli po tym komputer z tej samej lokalnej sieci, z adresem, powiedzmy, 192.168.1.35 wyśle pakiet do sieci zewnętrznej i również trafi pod tę regułę NAT, adres IP w polu Source tego pakietu zmieni się na 83.235.123.6. Jeżeli w puli nie pozostanie więcej adresów, kolejne połączenia będą odrzucane. Tzn. w tym przypadku pod naszą regułę NAT może jednocześnie trafić 4 komputerów.
Zakres Portów Stałych łączy wewnętrzne i zewnętrzne zakresy adresów IP. Translacja portów również jest wyłączona. Pozwala to na stałe powiązanie początku lub końca puli wewnętrznych adresów IP z początkiem lub końcem puli zewnętrznych adresów IP. W podanym poniżej przykładzie, wewnętrzna pula adresów 192.168.1.25 – 192.168.1.28 jest przyporządkowana do zewnętrznej puli adresów 83.235.123.5 – 83.235.125.8.
Przydział Bloków Portów — ta pula IP jest wykorzystywana do przydzielania bloku portów dla użytkowników puli IP. Oprócz samej puli IP, należy również wskazać dwa parametry — rozmiar bloku i liczbę bloków przydzielanych dla każdego użytkownika.
Teraz przyjrzymy się technologii Destination NAT. Opiera się ona na wirtualnych adresach IP (VIP). W przypadku pakietów, które trafiają pod zasady Destination NAT, zmienia się adres IP w polu Destination: zazwyczaj publiczny adres Internetu zmienia się na prywatny adres serwera. Wirtualne adresy IP stosowane są w politykach zapory sieciowej jako pole Destination.
Standardowy typ wirtualnych adresów IP to Static NAT. Oznacza to jedno do jednego przyporządkowanie adresów zewnętrznych i wewnętrznych.
Zamiast Static NAT, wirtualne adresy można ograniczyć do przekazywania konkretnych portów. Na przykład, połączenie z adresem zewnętrznym na porcie 8080 można powiązać z połączeniem z wewnętrznym adresem IP na porcie 80.
W poniższym przykładzie komputer z adresem 172.17.10.25 próbuje uzyskać dostęp do adresu 83.235.123.20 na porcie 80. To połączenie podlega zasadzie DNAT, więc adres docelowy zmienia się na 10.10.10.10.
W filmie omówiona jest teoria oraz przedstawione praktyczne przykłady konfiguracji Source i Destination NAT.
W następnych lekcjach przejdziemy do zapewnienia bezpieczeństwa użytkowników w Internecie. W szczególności w następnej lekcji omówiony zostanie funkcjonalność filtrowania stron internetowych i kontroli aplikacji. Aby nie przegapić, śledź aktualizacje na następujących kanałach:
Źródło: habr.com
