🥇8. Check Point Getting Started R80.20. NAT

Bem-vindo à 8ª lição. Esta lição é muito importante, pois ao final dela você já poderá configurar o acesso à internet para seus usuários! É preciso admitir que muitos param por aqui na configuração 🙂 Mas não somos desse tipo! E ainda temos muitas coisas interessantes pela frente. Agora, vamos ao tema da nossa lição.

Como você já deve ter adivinhado, hoje vamos falar sobre NAT. Tenho certeza de que todos que assistem a esta lição sabem o que é NAT. Portanto, não vamos detalhar como funciona. Apenas reitero que NAT é uma tecnologia de tradução de endereços, que foi criada com o objetivo de economizar os endereços 'brancos', ou seja, IPs públicos (aqueles endereços que são roteados na internet).

Na lição anterior, você provavelmente já percebeu que NAT faz parte da política de Controle de Acesso. Isso é bastante lógico. No SmartConsole, as configurações de NAT estão disponíveis em uma guia separada. Hoje, definitivamente vamos dar uma olhada lá. No geral, nesta lição discutiremos os tipos de NAT, configuraremos o acesso à Internet e revisaremos um exemplo clássico de redirecionamento de porta. Isto é, a funcionalidade que geralmente é mais utilizada nas empresas. Vamos começar.

Dois modos de configurar o NAT

A Check Point suporta dois modos de configuração do NAT: NAT Automático e NAT Manual. Para cada um desses modos, existem dois tipos de tradução: NAT Oculto e NAT Estático. Em termos gerais, isso se parece com a imagem:

Entendo que agora tudo pode parecer bastante complicado, então vamos examinar cada tipo com um pouco mais de detalhe.

NAT Automático

Esta é a maneira mais rápida e simples. A configuração do NAT pode ser feita literalmente em dois cliques. Tudo o que você precisa fazer é abrir as propriedades do objeto desejado (seja um gateway, rede, host, etc.), ir à guia NAT e marcar a opção “Adicionar regras de tradução de endereço automático”. Aqui, você também verá o campo — método de tradução. Eles são, como já mencionado, dois.

1. NAT Automático Oculto

Por padrão, isso é Oculto. Ou seja, neste caso, nossa rede ficará 'escondida' atrás de algum endereço IP público. Nesse caso, o endereço pode ser obtido a partir da interface externa do gateway, ou um outro pode ser especificado. Esse tipo de NAT é muitas vezes chamado de dinâmico ou muitos-para-um, pois vários endereços internos são traduzidos em um único endereço externo. Claro, isso é possível graças ao uso de diferentes portas durante a tradução. O Hide NAT funciona apenas em uma direção (de dentro para fora) e é ideal para redes locais, quando é simplesmente necessário garantir acesso à Internet. Se o tráfego for iniciado a partir de uma rede externa, o NAT, naturalmente, não funcionará. Assim, parece haver uma proteção adicional para as redes internas.

2. NAT Estático Automático

O Hide NAT é muito bom, mas talvez você precise garantir o acesso a um servidor interno a partir de uma rede externa. Por exemplo, a um servidor DMZ, como em nosso exemplo. Nesse caso, o NAT Estático pode nos ajudar. Ele também é configurado de forma bastante simples. Basta alterar o método de tradução nas propriedades do objeto para Estático e indicar o endereço IP público que será utilizado para o NAT (consulte a imagem acima). Ou seja, se alguém da rede externa fizer uma solicitação a esse endereço (por qualquer porta!), o pedido será redirecionado para o servidor que possui o IP interno. Nesse caso, se o próprio servidor acessar a Internet, seu IP também mudará para o endereço que indicamos. Ou seja, este é um NAT de duas vias. Também é chamado de um para um e às vezes é utilizado para servidores públicos. Por que “às vezes”? Porque ele tem uma grande desvantagem — o endereço IP público é totalmente ocupado (todas as portas). Não é possível usar um único endereço público para diferentes servidores internos (com portas diferentes). Por exemplo, HTTP, FTP, SSH, SMTP, etc. Essa questão pode ser resolvida com o NAT Manual.

NAT Manual

A característica do NAT Manual é que você deve criar as regras de tradução manualmente. Na mesma aba de NAT na Política de Controle de Acesso. O Manual NAT permite criar regras de tradução mais complexas. Você tem disponíveis os seguintes campos: Origem Original, Destino Original, Serviços Originais, Origem Traduzida, Destino Traduzido, Serviços Traduzidos.

Aqui também são possíveis dois tipos de NAT — Hide e Estático.

1. Manual Hide NAT

O Hide NAT neste caso pode ser utilizado em diferentes situações. Alguns exemplos:

Ao acessar um recurso específico da rede local, você deseja usar outro endereço para a tradução (diferente daquele utilizado para todos os outros casos).
Em uma rede local, há um número enorme de computadores. Automatic Hide NAT não é adequado aqui, pois com essa configuração só é possível atribuir um único endereço IP público, atrás do qual os computadores 'se escondem'. Pode simplesmente não haver portas suficientes para a tradução. Como você se lembra, há pouco mais de 65 mil. Ao mesmo tempo, cada computador pode gerar centenas de sessões. Manual Hide NAT permite definir um pool de endereços públicos no campo Translated Source. endereços IP. Dessa forma, aumenta-se o número possível de traduções NAT.

2. Manual Static NAT

Static NAT é utilizado com muito mais frequência ao criar regras de tradução manualmente. Um exemplo clássico é a redireção de portas. É o caso em que uma rede externa acessa um endereço IP público (que pode pertencer a um gateway) em uma determinada porta, e a solicitação é traduzida para um recurso interno. Em nosso trabalho de laboratório, redirecionaremos a porta 80 para o servidor DMZ.