Ahoj! Vitajte pri piatej lekcii kurzu. , na Prebrali sme si, ako fungujú bezpečnostné politiky. Teraz je čas sprístupniť lokálnym používateľom internet. V tejto lekcii sa pozrieme na to, ako funguje NAT.
Okrem sprístupnenia používateľov na internet sa budeme venovať aj metóde publikovania interných služieb. Nižšie uvádzame stručný prehľad teórie, ktorá stojí za videom, ako aj samotného video tutoriálu.
Technológia NAT (Network Address Translation) je mechanizmus na preklad IP adries sieťových paketov. Fortinet rozdeľuje NAT na dva typy: zdrojový NAT a cieľový NAT.
Názvy hovoria samy za seba: pri použití zdrojového NATu sa mení zdrojová adresa; pri použití cieľového NATu sa mení cieľová adresa.
Okrem toho existuje aj niekoľko možností konfigurácie NAT – Firewall Policy NAT a Central NAT.
Pri použití prvej možnosti musí byť pre každú bezpečnostnú politiku nakonfigurovaný zdrojový a cieľový NAT. V tomto prípade zdrojový NAT používa buď IP adresu odchádzajúceho rozhrania, alebo predkonfigurovaný IP fond. Cieľový NAT používa ako cieľovú adresu predkonfigurovaný objekt (nazývaný VIP – virtuálna IP adresa).
Pri použití centrálneho NAT sa konfigurácia zdrojového a cieľového NAT vykonáva pre celé zariadenie (alebo virtuálnu doménu) naraz. V tomto prípade sa nastavenia NAT vzťahujú na všetky politiky v závislosti od pravidiel zdrojového NAT a cieľového NAT.
Pravidlá zdrojového NAT sa konfigurujú v centrálnej politike zdrojového NAT. Cieľový NAT sa konfiguruje z ponuky DNAT pomocou IP adries.
V tejto lekcii sa budeme zaoberať iba NAT politiky firewallu - ako ukazuje prax, táto možnosť konfigurácie je oveľa bežnejšia ako centrálny NAT.
Ako som už spomenul, pri konfigurácii NAT zdroja politiky brány firewall existujú dve možnosti konfigurácie: nahradenie IP adresy adresou odchádzajúceho rozhrania alebo IP adresou z predkonfigurovaného fondu IP adries. Vyzerá to približne ako na obrázku nižšie. Nižšie stručne rozoberiem možné fondy, ale v praxi budeme brať do úvahy iba možnosť adresy odchádzajúceho rozhrania – v našom príklade nepotrebujeme fondy IP adries.
IP fond definuje jednu alebo viac IP adries, ktoré sa použijú ako zdrojová adresa počas relácie. Tieto IP adresy sa použijú namiesto IP adresy odchádzajúceho rozhrania FortiGate.
Na FortiGate je možné nakonfigurovať 4 typy IP skupín:
- preťaženie
- Jeden na jedného
- Rozsah pevných portov
- Alokácia blokov portov
Preťaženie je hlavný IP fond. Mapuje IP adresy pomocou mapovania typu „mnohé k jednému“ alebo „mnohé k niekoľkým“. Používa sa aj preklad portov. Pozrite si diagram nižšie. Máme paket s definovanými poľami Zdroj a Cieľ. Keď politika brány firewall povolí tomuto paketu prístup k externej sieti, použije sa pravidlo NAT. V dôsledku toho sa pole Zdroj v tomto pakete nahradí jednou z IP adries uvedených v IP fonde.
Fond typu „jeden k jednému“ tiež definuje viacero externých IP adries. Keď paket narazí na politiku firewallu s povoleným pravidlom NAT, IP adresa v poli Zdroj sa zmení na jednu z adries patriacich do tohto fondu. Táto zmena sa vykonáva na princípe „kto prv príde, ten prv berie“. Pre lepšiu predstavu si ukážme príklad.
Počítač v lokálnej sieti s IP adresou 192.168.1.25 odošle paket do externej siete. Zhoduje sa s pravidlom NAT a pole Zdroj sa zmení na prvú IP adresu v poole, v našom prípade 83.235.123.5. Stojí za zmienku, že pri použití tohto IP poolu sa nepoužíva presmerovanie portov. Ak počítač v tej istej lokálnej sieti, povedzme 192.168.1.35, potom odošle paket do externej siete a tiež zodpovedá tomuto pravidlu NAT, IP adresa v poli Zdroj tohto paketu sa zmení na 83.235.123.6. Ak v poole nie sú žiadne ďalšie adresy, následné pripojenia budú zamietnuté. Inými slovami, v tomto prípade môžu štyri počítače súčasne zodpovedať nášmu pravidlu NAT.
Pevný rozsah portov prepája interné a externé rozsahy IP adries. Preklad portov je tiež zakázaný. To umožňuje mapovať začiatok alebo koniec interného fondu IP adries na začiatok alebo koniec externého fondu IP adries. V nasledujúcom príklade je interný fond adries 192.168.1.25 – 192.168.1.28 namapovaný na externý fond adries 83.235.123.5 – 83.235.125.8.
Pridelenie bloku portov – tento IP fond sa používa na pridelenie bloku portov používateľom IP fondu. Okrem samotného IP fondu je potrebné tu zadať dva parametre: veľkosť bloku a počet blokov pridelených každému používateľovi.
Pozrime sa teraz na technológiu Destination NAT. Je založená na virtuálnych IP adresách (VIP). Pakety, ktoré zodpovedajú pravidlám Destination NAT, majú zmenenú IP adresu v poli Destination: verejná internetová adresa sa zvyčajne nahradí súkromnou adresou servera. Virtuálne IP adresy sa používajú v politikách firewallu ako pole Destination.
Štandardným typom virtuálnej IP adresy je statický NAT. Ide o mapovanie externých a interných adries typu jeden k jednému.
Namiesto statického NATu je možné virtuálne adresy obmedziť presmerovaním konkrétnych portov. Napríklad pripojenia k externej adrese na porte 8080 je možné prepojiť s pripojeniami k internej IP adrese na porte 80.
V nasledujúcom príklade sa počítač s adresou 172.17.10.25 pokúša o prístup k adrese 83.235.123.20 na porte 80. Toto pripojenie zodpovedá pravidlu DNAT, takže cieľová IP adresa sa zmení na 10.10.10.10.
Video pokrýva teóriu a poskytuje praktické príklady konfigurácie zdrojového a cieľového NATu.
V ďalších lekciách sa zameriame na zaistenie bezpečnosti používateľov online. Konkrétne sa ďalšia lekcia bude zaoberať filtrovaním webu a funkciami správy aplikácií. Ak chcete zostať v obraze, sledujte aktualizácie na nasledujúcich kanáloch:
Zdroj: hab.com
