🥇8. Check Point Getting Started R80.20. NAT

Witamy na ósmej lekcji. Lekcja jest bardzo ważna, ponieważ po jej ukończeniu będziecie mogli skonfigurować dostęp do internetu dla swoich użytkowników! Trzeba przyznać, że wielu na tym kończy konfigurację 🙂 Ale my nie należymy do ich grona! Przed nami jeszcze wiele interesujących tematów. A teraz przejdźmy do tematu naszej lekcji.

Jak już pewnie zgadliście, dzisiaj porozmawiamy o NAT. Jestem pewien, że wszyscy, którzy oglądają tę lekcję, wiedzą, czym jest NAT. Dlatego nie będziemy szczegółowo opisywać, jak to działa. Powtórzę tylko, że NAT to technologia translacji adresów, która została wymyślona w celu oszczędzenia „białych”, tzn. publicznych adresów IP (tych adresów, które są routowane w sieci Internet).

W poprzedniej lekcji pewnie zauważyliście, że NAT wchodzi w skład polityki kontroli dostępu. To całkowicie logiczne. W SmartConsole ustawienia NAT są przeniesione do osobnej zakładki. Dzisiaj koniecznie tam zajrzymy. Ogólnie, w tej lekcji omówimy typy NAT, skonfigurujemy dostęp do internetu i rozważymy klasyczny przykład z port forwardingiem. Tzn. funkcjonalność, która jest najczęściej używana w firmach. Zaczynajmy.

Dwa sposoby konfiguracji NAT

Check Point obsługuje dwa sposoby konfiguracji NAT: NAT automatyczny i NAT ręczny. Przy czym dla każdego z tych sposobów są dwa typy translacji: Hide NAT i Static NAT. W ogólnym ujęciu wygląda to jak na tym obrazku:

Rozumiem, że prawdopodobnie teraz wszystko wygląda dosyć skomplikowanie, dlatego przyjrzyjmy się każdemu typowi nieco bliżej.

NAT automatyczny

To najszybszy i najprostszy sposób. Konfiguracja NAT odbywa się dosłownie w dwa kliknięcia. Wszystko, co trzeba zrobić, to otworzyć właściwości odpowiedniego obiektu (czy to gateway, sieć, host itp.), przejść do zakładki NAT i zaznaczyć opcję “Add automatic address translation rules”. Tutaj właśnie zobaczycie pole — metoda translacji. Jak już wspomniano powyżej — są dwie.

1. Aitomatic Hide NAT

Domyślnie jest to Hide. Tzn. w tym przypadku nasza sieć będzie „ukryta” za jakimś publicznym adresem IP. Adres ten może być pobrany z zewnętrznego interfejsu bramy, lub można wskazać inny. Taki typ NAT-u często nazywa się dynamicznym lub many-to-one, ponieważ wiele wewnętrznych adresów jest tłumaczonych na jeden zewnętrzny. Naturalnie, jest to możliwe dzięki używaniu różnych portów podczas tłumaczenia. Hide NAT działa tylko w jednym kierunku (od wewnątrz na zewnątrz) i idealnie nadaje się do lokalnych sieci, gdy trzeba po prostu zapewnić dostęp do Internetu. Jeśli ruch będzie inicjowany z sieci zewnętrznej, NAT naturalnie nie zadziała. Tak więc, otrzymujemy dodatkową ochronę wewnętrznych sieci.

2. Automatyczny Static NAT

Hide NAT jest dobry, ale być może potrzebujesz zapewnić dostęp z sieci zewnętrznej do jakiegoś wewnętrznego serwera. Na przykład do serwera DMZ, jak w naszym przypadku. W takim przypadku może nam pomóc Static NAT. Konfiguruje się go również dość prosto. Wystarczy w właściwościach obiektu zmienić metodę tłumaczenia na Static i wskazać publiczny adres IP, który będzie używany do NAT-u (patrz obrazek powyżej). To znaczy, że jeśli ktoś z sieci zewnętrznej zwróci się do tego adresu (na dowolnym porcie!), żądanie zostanie skierowane na serwer z wewnętrznym adresem IP. Przy tym, jeśli sam serwer będzie wychodził na Internet, jego adres IP również zmieni się na wskazany przez nas adres. To znaczy, że jest to NAT w obu kierunkach. Nazywa się go również one-to-one i czasami używa się go dla publicznych serwerów. Dlaczego "czasami"? Ponieważ ma jedną dużą wadę — publiczny adres IP jest całkowicie zajęty (wszystkie porty). Nie można używać jednego publicznego adresu pod różne wewnętrzne serwery (z różnymi portami). Na przykład HTTP, FTP, SSH, SMTP itd. Rozwiązać ten problem może Manual NAT.

NAT ręczny

Cechą Manual NAT jest to, że konieczne jest samodzielne tworzenie reguł tłumaczenia. Na tej samej karcie NAT w Polityce Kontroli Dostępu. Jednocześnie Manual NAT pozwala na tworzenie bardziej skomplikowanych reguł tłumaczenia. Masz dostępne takie pola jak: Original Source, Original Destination, Original Services, Translated Source, Translated Destination, Translated Services.

Tutaj również dostępne są dwa typy NAT — Hide i Static.

1. Manual Hide NAT

Hide NAT w tym przypadku może być używane w różnych sytuacjach. Oto kilka przykładów:

Gdy odwołujesz się do konkretnego zasobu z lokalnej sieci, chcesz użyć innego adresu do tłumaczenia (różnego od tego, który jest używany we wszystkich innych przypadkach).
W lokalnej sieci jest ogromna liczba komputerów. Automatic Hide NAT nie będzie tutaj odpowiedni, ponieważ przy takim ustawieniu można przypisać tylko jeden publiczny adres IP, za którym będą 'chować się' komputery. Może po prostu zabraknąć portów do translacji. Jak pamiętacie, jest ich nieco ponad 65 tysięcy. Każdy komputer może jednocześnie generować setki sesji. Manual Hide NAT pozwala na określenie puli publicznych adresów IP w polu Translated Source. adresów IP. Tym samym zwiększa się liczba możliwych translacji NAT.

2. Manual Static NAT

Static NAT jest znacznie częściej używany przy ręcznym tworzeniu reguł translacji. Klasyczny przykład to przekierowanie portów. Przykład, gdy z zewnętrznej sieci wysyłane jest zapytanie na publiczny adres IP (który może należeć do bramki) na określonym porcie, a zapytanie jest przekazywane do zasobu wewnętrznego. W naszej pracy laboratoryjnej przekierujemy port 80 do serwera DMZ.