Hej! VÀlkommen till den femte lektionen i kursen . Vid Vi har gÄtt igenom hur sÀkerhetspolicys fungerar. Nu Àr det dags att slÀppa lokala anvÀndare pÄ Internet. I den hÀr lektionen kommer vi att titta pÄ hur NAT-mekanismen fungerar.
Förutom att slÀppa anvÀndare pÄ Internet kommer vi ocksÄ att titta pÄ metoden för att publicera interna tjÀnster. Under lÀnken nedan hittar du en kort teori frÄn videon samt sjÀlva videolektionen.
NAT-teknologi (Network Address Translation) Àr en mekanism för att omvandla IP-adresser i nÀtverkspaket. I termer av Fortinet delas NAT in i tvÄ typer: Source NAT och Destination NAT.
Namnen sĂ€ger allt â nĂ€r Source NAT anvĂ€nds Ă€ndras kĂ€lladressen, medan Destination NAT Ă€ndrar destinationsadressen.
Utöver detta finns det ocksĂ„ flera alternativ för att konfigurera NAT â Firewall Policy NAT och Central NAT.
Vid anvĂ€ndning av det första alternativet mĂ„ste Source och Destination NAT konfigureras för varje sĂ€kerhetspolicy. I sĂ„dana fall anvĂ€nder Source NAT antingen IP-adressen för den utgĂ„ende grĂ€nssnittet eller en förkonfigurerad IP-pool. Destination NAT anvĂ€nder en förkonfigurerad objekt (sĂ„ kallad VIP â Virtual IP) som destinationsadress.
Vid anvÀndning av Central NAT görs konfigurationen av Source och Destination NAT för hela enheten (eller virtuella domÀn) pÄ en gÄng. I sÄdana fall tillÀmpas NAT-parametrarna pÄ alla policyer, beroende pÄ reglerna för Source NAT och Destination NAT.
Regler för Source NAT konfigureras i den centrala policyn för Source NAT. Destination NAT konfigureras frÄn menyn DNAT med hjÀlp av IP-adresser.
I denna lektion kommer vi endast att titta pĂ„ Firewall Policy NAT â som erfarenheten visar Ă€r detta konfigurationsalternativ mycket vanligare Ă€n Central NAT.
Som jag nĂ€mnde innan finns det tvĂ„ alternativ för att konfigurera Firewall Policy Source NAT: antingen att ersĂ€tta IP-adressen med adressen för den utgĂ„ende grĂ€nssnittet, eller med en IP-adress frĂ„n en förkonfigurerad IP-pool. Det ser ungefĂ€r ut som bilden nedan. Jag kommer kort att berĂ€tta om de möjliga poolerna, men i praktiken kommer vi att fokusera pĂ„ alternativet med adressen för den utgĂ„ende grĂ€nssnittet â i vĂ„r design behöver vi inga IP-pooler.
IP-poolen definierar en eller flera IP-adresser som kommer att anvÀndas som kÀlladress under sessionen. Dessa IP-adresser kommer att anvÀndas istÀllet för IP-adressen för den utgÄende grÀnssnittet pÄ FortiGate.
Det finns 4 typer av IP-pooler som kan konfigureras pÄ FortiGate:
- Ăverbelastning
- En till en
- Fast portomrÄde
- Portblockallokering
Ăverbelastning Ă€r den primĂ€ra IP-poolen. I den omvandlas IP-adresser enligt en mĂ„nga-till-en eller mĂ„nga-till-mĂ„nga-schema. PortöversĂ€ttning anvĂ€nds ocksĂ„. LĂ„t oss titta pĂ„ schemat som visas nedan. Vi har ett paket med specifika fĂ€lt för kĂ€ll- och destinationsadress. NĂ€r det trĂ€ffar en brandvĂ€ggspolicy som tillĂ„ter paketet att fĂ„ Ă„tkomst till det externa nĂ€tverket, tillĂ€mpas en NAT-regel pĂ„ det. Resultatet Ă€r att kĂ€llfĂ€ltet i detta paket ersĂ€tts med en av IP-adresserna som anges i IP-poolen.
I en en-till-en-pool definieras ocksÄ en mÀngd externa IP-adresser. Om ett paket ramlar in under en brandvÀggspolicy med en aktiv NAT-regel Àndras IP-adressen i kÀllfÀltet till en av adresserna som tillhör denna pool. ErsÀttningen sker enligt regeln - "först in, först ut". För att göra det mer begripligt, lÄt oss titta pÄ ett exempel.
En dator i det lokala nÀtverket med IP-adressen 192.168.1.25 skickar ett paket till det externa nÀtverket. Det faller under NAT-regeln, och kÀllfÀltet Àndras till den första IP-adressen frÄn poolen, i vÄrt fall 83.235.123.5. Det Àr vÀrt att notera att portöversÀttning inte anvÀnds med denna IP-pool. Om efter detta en dator frÄn samma lokala nÀtverk, med adressen, sÀg, 192.168.1.35, skickar ett paket till det externa nÀtverket och ocksÄ ramlar under denna NAT-regel, kommer IP-adressen i kÀllfÀltet för detta paket att Àndras till 83.235.123.6. Om det inte finns fler adresser kvar i poolen kommer efterföljande anslutningar att avvisas. Det vill sÀga, under vÄr NAT-regel kan samtidigt 4 datorer omfattas.
Fast portomrĂ„de lĂ€nkar interna och externa IP-adressomrĂ„den. PortöversĂ€ttning Ă€r ocksĂ„ avstĂ€ngd. Detta gör det möjligt att fast koppla början eller slutet pĂ„ poolen av interna IP-adresser med början eller slutet av poolen av externa IP-adresser. I exemplet nedan kopplas den interna adresspoolen 192.168.1.25 â 192.168.1.28 till den externa adresspoolen 83.235.123.5 â 83.235.125.8.
Portblockallokering â denna IP-pool anvĂ€nds för att tilldela ett block av portar för anvĂ€ndare av IP-poolen. Förutom sjĂ€lva IP-poolen mĂ„ste hĂ€r ocksĂ„ tvĂ„ parametrar anges - blockstorlek och antal block som tilldelas varje anvĂ€ndare.
Nu ska vi titta pÄ Destination NAT-teknologin. Den Àr baserad pÄ virtuella IP-adresser (VIP). För paket som omfattas av Destination NAT-regler förÀndras IP-adressen i Destination-fÀltet: vanligtvis Àndras den offentliga internetadressen till serverns privata adress. Virtuella IP-adresser anvÀnds i brandvÀggspolicyn som Destination-fÀlt.
Den standard virtuella IP-adress-typen Àr Static NAT. Detta Àr en en-till-en matchning av externa och interna adresser.
IstÀllet för Static NAT kan virtuella adresser begrÀnsas till att vidarebefordra specifika portar. Till exempel kan anslutningar till den externa adressen pÄ port 8080 kopplas till den interna IP-adressen pÄ port 80.
I exemplet nedan försöker en dator med adressen 172.17.10.25 fÄ Ätkomst till adressen 83.235.123.20 pÄ port 80. Denna anslutning omfattas av DNAT-regeln, sÄ destinationens IP-adress Àndras till 10.10.10.10.
I videon diskuteras teorin, samt praktiska exempel pÄ konfiguration av Source och Destination NAT.
I de kommande lektionsavsnitten kommer vi att gÄ över till att sÀkerstÀlla anvÀndarsÀkerhet pÄ internet. Specifikt kommer vi att ta en nÀrmare titt pÄ webbfilter och applikationskontroll i nÀsta lektion. För att inte missa den, hÄll dig uppdaterad pÄ följande kanaler:
KĂ€lla: habr.com
