🥇8. Check Point Getting Started R80.20. NAT

Vitajte na ôsmej lekcii. Táto lekcia je veľmi dôležitá, pretože po jej dokončení už budete schopní nastaviť pripojenie k internetu pre vašich používateľov! Treba uznať, že mnohí s týmto nastavením končia 🙂 Ale my nie sme ich súčasťou! A pred nami je ešte veľa zaujímavého. Teraz sa teda pustíme do témy našej lekcie.

Ako ste už pravdepodobne uhádli, dnes sa budeme rozprávať o NAT. Som si istý, že všetci, ktorí sledujú túto lekciu, vedia, čo NAT znamená. Preto sa nebudeme podrobne zaoberať tým, ako to funguje. Ešte raz zopakujem, že NAT je technológia prekladu adries, ktorá bola vymyslená s cieľom šetriť „biele“, teda verejné IP adresy (tie adresy, ktoré sú smerované v sieti Internet).

Vo predchádzajúcej lekcii ste si pravdepodobne už všimli, že NAT je súčasťou politiky Access Control. To je celkom logické. V SmartConsole sú nastavenia NAT presunuté do samostatnej záložky. Dnes sa tam určite pozrieme. Vo všeobecnosti v tejto lekcii prediskutujeme typy NAT, nastavíme pripojenie k internetu a preskúmame klasický príklad s port forwardingom. Teda ten funkčný prvok, ktorý sa najčastejšie používa vo firmách. Poďme na to.

Dva spôsoby nastavenia NAT

Check Point podporuje dva spôsoby nastavenia NAT: Automatický NAT a Manuálny NAT. Pre každý z týchto spôsobov existujú dva typy prekladu: Hide NAT a Statický NAT. V celkovom pohľade to vyzerá ako na tomto obrázku:

Chápem, že to teraz môže vyzerať zložitě, tak si každý typ podrobnejšie preskúmame.

Automatický NAT

Toto je najrýchlejší a najjednoduchší spôsob. Nastavenie NAT sa dá spraviť doslova v dvoch kliknutiach. Všetko, čo musíte urobiť, je otvoriť vlastnosti požadovaného objektu (či už to je brána, sieť, hostiteľ atď.), prejsť na záložku NAT a zaškrtnúť „Pridať automatické pravidlá pre preklad adries“. Tu presne uvidíte pole – metóda prekladu. Tých, ako už bolo povedané vyššie, sú dve.

1. Automatický Hide NAT

Predvolene je to Hide. Teda v tomto prípade sa naša sieť bude „skryť“ za nejakou verejnou IP adresou. Pričom adresu možno získať z vonkajšieho rozhrania brány, alebo môžete zadať nejakú inú. Tento typ NAT-u sa často nazýva dynamický alebo many-to-one, pretože niekoľko interných adries sa prekladá na jednu vonkajšiu. Samozrejme, to je možné vďaka použitiu rôznych portov pri preklade. Hide NAT funguje len jedným smerom (zdola nahor) a ideálne sa hodí pre lokálne siete, keď je potrebné jednoducho zabezpečiť prístup na internet. Ak bude prevádzka iniciovaná z vonkajšej siete, NAT samozrejme nebude fungovať. Vzniká tak akoby ďalšia ochrana interných sietí.

2. Automatický statický NAT

Hide NAT je skvelý, ale možno potrebujete zabezpečiť prístup z vonkajšej siete k nejakému internému serveru. Napríklad k DMZ-serveru, ako je v našom prípade. V tomto prípade nám môže pomôcť statický NAT. Jeho nastavenie je tiež pomerne jednoduché. Stačí v nastaveniach objektu zmeniť metódu prekladu na Static a uviesť verejnú IP adresu, ktorá sa bude používať pre NAT (pozri obrázok vyššie). T.j. ak sa niekto z vonkajšej siete pripojí na túto adresu (cez akýkoľvek port!), požiadavka bude preposlaná na server s už internou IP adresou. Ak sa pritom server pripojí na internet, tak jeho IP adresa sa tiež zmení na uvedenú adresu. T.j. ide o NAT v oboch smeroch. Niekedy sa to nazýva one-to-one a občas sa používa pre verejné servery. Prečo 'občas'? Pretože má jednu veľkú nevýhodu - verejná IP adresa je úplne obsadená (všetky porty). Nie je možné použiť jednu verejnú adresu pre rôzne interné servery (s rôznymi portami). Napríklad HTTP, FTP, SSH, SMTP a tak ďalej. Tento problém môže vyriešiť manuálny NAT.

Manuálny NAT

Špecifikou manuálneho NAT je, že je potrebné samostatne vytvárať pravidlá pre preklad. V tej istej karte NAT v politikách kontroly prístupu. Manuálny NAT umožňuje vytvárať zložitejšie pravidlá pre preklad. Môžete využiť také polia ako: Pôvodný zdroj, Pôvodná destinácia, Pôvodné služby, Preložený zdroj, Preložená destinácia, Preložené služby.

Tu sú tiež možné dva typy NAT - Hide a Static.

1. Manuálny Hide NAT

Hide NAT sa v tomto prípade môže používať v rôznych situáciách. Niekoľko príkladov:

Pri prístupe k nejakému konkrétnemu zdroju z lokálnej siete chcete použiť inú adresu na preklad (odlišnú od tej, ktorá sa používa vo všetkých ostatných prípadoch).
V lokálnej sieti je obrovské množstvo počítačov. Automatic Hide NAT tu nie je vhodný, pretože pri takomto nastavení je možné nastaviť iba jednu verejnú IP adresu, za ktorou sa budú "schovávať" počítače. Portov na prekládku môže jednoducho byť nedostatok. Tých, ako si pamätáte, je niečo málo viac ako 65 tisíc. Zároveň každý počítač môže generovať stovky relácií. Manual Hide NAT umožňuje v poli Translated Source nastaviť skupinu verejných ip-adresy. Týmto sa zvýši počet možných NAT-translácií.

2. Manual Static NAT

Static NAT sa používa oveľa častejšie pri ručnom vytváraní pravidiel prekládky. Klasickým príkladom je preposielanie portov. Prípad, keď sa z vonkajšej siete obráti na verejnú IP adresu (ktorá môže patriť bráne) cez určitý port a požiadavka sa prekladá na vnútorný zdroj. V našej laboratórnej práci preposunieme port 80 na DMZ server.