8. Check Point Getting Started R80.20. NAT
Добро пожаловать на 8-й урок. Урок очень важный, т.к. по его завершению вы уже сможете настроить выход в интернет для ваших пользователей! Надо признать, что многие на этом настройку и заканчивают 🙂 Но мы не из их числа! И у нас еще много интересного впереди. А теперь к теме нашего урока.
Как вы уже наверно догадались, говорить мы сегодня будем про NAT. Уверен, что все, кто смотрит этот урок, знают, что такое NAT. Поэтому мы не будем подробно расписывать как это работает. Я лишь еще раз повторю, что NAT это технология трансляции адресов, которая была придумана с целью экономии “белых”, т.е. публичных ip-шников (тех адресов, которые маршрутизируются в сети Интернет).
В предыдущем уроке вы наверно уже успели заметить, что NAT входит в состав политики Access Control. Это весьма логично. В SmartConsole настройки NAT вынесены в отдельную вкладку. Мы сегодня туда обязательно заглянем. В целом, в данном уроке мы обсудим типы NAT, настроим выход в Интернет и рассмотрим классический пример с port forwarding. Т.е. тот функционал, который чаще всего используется в компаниях. Приступим.
Два способа настройки NAT
Check Point поддерживает два способа настройки NAT: Automatic NAT и Manual NAT. При этом для каждого из этих способов есть два типа трансляции: Hide NAT и Static NAT. В общем виде это выглядит как на этой картинке:
Понимаю, что скорее всего сейчас все выглядит весьма сложно, поэтому давайте рассмотрим каждый тип чуть подробнее.
Automatic NAT
Это самый быстрый и простой способ. Настройка NAT осуществляется буквально в два клика. Все что нужно сделать, это открыть свойства нужного объекта (будь то gateway, network, host и т.д.), перейти во вкладку NAT и поставить галочку “Add automatic address translation rules”. Здесь же вы как раз и увидите поле — метод трансляции. Их, как уже было сказано выше — два.
1. Aitomatic Hide NAT
По дефолту это Hide. Т.е. в этом случае, наша сеть будет “прятаться” за каким-то публичным ip-адресом. При этом адрес может быть взят с внешнего интерфейса шлюза, либо можно указать какой-то другой. Такой тип NAT-а часто называют динамическим или many-to-one, т.к. несколько внутренних адресов транслируются в один внешний. Естественно это возможно за счет использования разных портов при трансляции. Hide NAT работает только в одну сторону (изнутри-наружу) и идеально подходит для локальных сетей, когда надо просто обеспечить выход в Интернет. Если трафик будет инициироваться из внешней сети, то NAT естественно не сработает. Получается как бы еще дополнительная защита внутренних сетей.
2. Automatic Static NAT
Hide NAT всем хорош, но возможно вам нужно обеспечить доступ из внешней сети к какому-нибудь внутреннему серверу. Например к DMZ-серверу, как в нашем примере. В этом случае нам может помочь Static NAT. Настраивается он также довольно просто. Достаточно в свойствах объекта изменить метод трансляции на Static и указать публичный IP-адрес, который будет использоваться для NAT-а (см. картинку выше). Т.е. если кто-то из внешней сети обратится к этому адресу (по любому порту!), то запрос будет переброшен на сервер с уже внутренним ip-шником. При этом если сам сервер будет выходить в Интернет, то его ip-шник также сменится на указанный нами адрес. Т.е. это NAT в обе стороны. Его еще называют one-to-one и иногда используют для публичных серверов. Почему “иногда”? Потому что у него есть один большой недостаток — публичный ip-адрес занимается полностью (все порты). Нельзя использовать один публичный адрес под разные внутренние сервера (с разными портами). Например HTTP, FTP, SSH, SMTP и т.д. Решить эту проблему может Manual NAT.
Manual NAT
Особенность Manual NAT в том, что необходимо самостоятельно создавать правила трансляции. В той самой вкладке NAT в Access Control Policy. При этом Manual NAT позволяет создавать более сложные правила трансляции. Вам доступны такие поля как: Original Source, Original Destination, Original Services, Translated Source, Translated Destination, Translated Services.
Здесь также возможны два типа NAT — Hide и Static.
1. Manual Hide NAT
Hide NAT в данном случае может использоваться в разных ситуациях. Пара примеров:
- При обращении к какому-то конкретному ресурсу из локальной сети, вы хотите использовать другой адрес для трансляции (отличный от того, который используется для всех остальных случаев).
- В локальной сети огромное кол-во компьютеров. Automatic Hide NAT здесь не подойдет, т.к. при такой настройке возможно выставить всего один публичный IP-адрес, за которым будут “прятаться” компьютеры. Портов для трансляции может просто не хватить. Их, как вы помните, чуть больше 65 тысяч. При этом каждый компьютер может генерировать сотни сессий. Manual Hide NAT позволяет в поле Translated Source выставить пул публичных ip-адресов. Тем самым увеличив кол-во возможных NAT-трансляций.
2. Manual Static NAT
Static NAT используется гораздо чаще при ручном создании правил трансляции. Классический пример — проброс портов. Случай, когда из внешней сети обращаются на публичный IP-адрес (который может принадлежать шлюзу) по определенному порту и запрос транслируется на внутренний ресурс. В нашей лабораторной работе мы пробросим 80 порт до DMZ сервера.
Источник
NAT (Network Address Translation) для новичков
Приветствую всех читателей данной статьи!
Данная статья будет полезна как новичкам в IT сфере, так и неопытным системным администраторам/ сетевым инженерам. Здесь затрагиваются понятия и принцип работы технологии NAT, ее значение в наше время, виды и создание с конфигурированием в программе-симуляторе Cisco Packet Tracer.
Введение
Интернет — всемирная система, состоящая из объединенных компьютерных сетей на базе протокола TCP/IP.
Сейчас интернет — это не просто сеть, а целая информационная вселенная, подчиняющаяся техническим, социальным и государственным законам в различных ее частях. В современном мире люди не обходятся без доступа во всемирную паутину. Интернет открывает множество возможностей получения информации из любой точки мира.
На данный момент в интернете больше всего распространены IP адреса версии — IPv4. Это позволяет создать 4.3 млрд. IP-адресов. Однако этого, казалось бы, большого количества критично не хватает. Чтобы решить эту проблему — был создан механизм преобразования сетевых адресов — NAT.
С задачей объединения устройств в единую сеть помогают различные компании, занимающиеся разработкой и внедрением сетевого оборудования.На сей момент на рынке сетевого оборудования доминируют компании Cisco Systems и Huawei. В данной статье будем вести работу с оборудованием Cisco.
Cisco Systems разработала собственную специальную межсетевую ОС для работы с оборудованием под названием IOS (Internet Operating System). IOS — многозадачная операционная система, выполняющая функции сетевой организации, маршрутизации, коммутации и передачи данных. ОС IOS представляет собой сложную операционную систему реального времени, состоящую из нескольких подсистем и имеющую множество возможных параметров конфигурирования.
В операционной системе IOS представлен специфичный интерфейс командой строки CLI (Command Line Interface). В этом интерфейсе возможно использовать некоторое количество команд. Количество зависит от выбранного режима и от уровня привилегий пользователя (пользовательский, привилегированный, глобальной конфигурации и специфической конфигурации).
Нехватка IP адресов. Технология NAT
В 80х годах ХХ века заложили основу IPv4, позволяющую создавать
4.3 млрд. адресов, но никто не предполагал, что этот запас так быстро иссякнет. С каждым годом появлялось все больше и больше пользователей и с 25 ноября 2019г. в России и в Европе официально закончились IP адреса. Лимит исчерпан.
Для решения этой проблемы было придумано несколько способов:
Первый способ заключается в усилении контроля за IP адресами.
Пусть существует некоторый сайт N с IPv4 xxx.xxx.xxx.xxx, и его хост решил прекратить его поддержание данного сайта. Сайт заброшен, а IP продолжает числиться как занятый и таких случаев может быть очень много. То бишь необходимо провести «инвентаризацию» IP адресов и изъять неиспользуемые/заброшенные.
Второй способ — в массовом использовании системы IPv6.
Протокол IPv6 разработан как преемник протокола IPv4. Основные преимущества IPv6 над IPv4 заключаются в увеличенном адресном пространстве (IPv4 имел 32 бита, что равнялось 2 32 адресам, а IPv6 имел 128 бит, что равнялось 2 128 адресам), 6 версия протокола стала безопаснее (т.к. в v4 не предусматривались многие аспекты безопасности, ибо расчет был на сторонние ПО, а в v6 появились контрольные суммы и шифрование пакетов), однако это далеко не все преимущества IPv6 над IPv4.
Проблема, казалось бы, решена, однако перейти с протокола IPv4 на IPv6 вызывает трудности, потому что эти протоколы несовместимы. И изюминкой причины тяжелого перехода на 6 версию протокола является денежная стоимость. Многие кампании не готовы вложить достаточное кол-во средств для перехода, хоть и стоит отметить, что процесс перехода с 4 на 6 версию постепенно идет.
И третий способ — использование технологии трансляции сетевых адресов — NAT.
Cогласно документу RFC 1918, IANA зарезервировала 3 блока адресов для частных IP (серых) (рис 1), остальные же IP адреса носят название публичных адресов (белых).
Network Address Translation — это механизм в сетях TCP/IP, позволяющий изменять IP адрес в заголовке пакета, проходящего через устройство маршрутизации трафика.
Принимая пакет от локального компьютера, маршрутизатор смотрит на IP-адрес назначения. Если это локальный адрес, то пакет пересылается другому локальному компьютеру. Если нет, то пакет надо переслать наружу в интернет.
Маршрутизатор подменяет обратный IP-адрес пакета на свой внешний (видимый из интернета) IP-адрес и меняет номер порта (чтобы различать ответные пакеты, адресованные разным локальным компьютерам). Комбинацию, нужную для обратной подстановки, маршрутизатор сохраняет у себя во временной таблице. Через некоторое время после того, как клиент и сервер закончат обмениваться пакетами, маршрутизатор сотрет у себя в таблице запись об n-ом порте за сроком давности.
Основная функция NAT — сохранение публичных адресов, однако дополнительной функцией является конфиденциальность сети, путем скрытия внутренних IPv4 адресов от внешней.
Существует множество типов технологии NAT, однако основными принято считать: Статический NAT (Static Network Address Translation), Динамический NAT (Dynamic Network Address Translation) и Перегруженный NAT (Network Address Translation Overload).
Статический NAT применяют для отображения незарегистрированного IP-адреса на зарегистрированный IP-адрес на основании один к одному. Особенно полезно, когда устройство должно быть доступным снаружи сети.
Статический NAT используется чаще всего в корпоративных сетях, когда необходимо, чтобы какой-либо IP адрес всегда был доступен из глобальной сети. Зачастую статическим IP наделяют сервера и помещают их в DМZ (рис 2).
Динамический NAT отображает незарегистрированный IP-адрес на зарегистрированный адрес из группы зарегистрированных IP-адресов. Динамический NAT также устанавливает непосредственное отображение между незарегистрированными и зарегистрированными адресами, но отображение может меняться в зависимости от зарегистрированного адреса, доступного в пуле (pool — диапазон) адресов, во время коммуникации.
Перегруженный NAT. Этот тип NAT’a имеет множество названий:
NAT Overload, Many-to-One, PAT (Port Address Translation) и IP Masquerading, однако в большинстве источников указывается как NAT Overload. Перегруженный NAT — форма динамического NAT, который отображает несколько незарегистрированных адресов в единственный зарегистрированный IP-адрес, используя различные порты. При перегрузке каждый компьютер в частной сети транслируется в тот же самый адрес, но с различным номером порта.
Подготовка компьютерной сети
Логическая схема топологии сети будет выглядеть как показано на изображении (рис 3)
Отнесем PC — станции во VLAN 2, а сервер во VLAN 3. Для этого нужно настроить коммутатор S0 (рис 4). Для того, чтобы определить PC пользователей в отдельный VLAN, необходимо создать VLAN 2 и в 3 запихнуть сам сервер (удобства ради еще и обзовем VLAN’ы именами) (показано синим на рис 4), определить область портов коммутатора, которые будут входить во VLAN 2,3 и прописать соответствующие команды (показано красным на рис 4). Следующая задача – определить один порт типа trunk, для взаимодействия с маршрутизатором (показано зеленым рис 4). Таким образом, коммутатор выступает в роли «посредника» между оконечными устройствами и маршрутизатором.
Теперь нужно настроить непосредственно маршрутизатор. Технология sub-interface позволяет объединять несколько виртуальных интерфейсов в один и подключить их к физическому интерфейсу (на маршрутизаторе выбран физический интерфейс fa0/0). Необходимо дать для каждого VLAN’а свой под-интерфейс (показано красным на рис 5) и выдать им IP адрес (показано зеленым на рис 5).
Таким образом, в будущем мы будем NAT’ить трафик.
Дальше я бы посоветовал бы настроить протокол динамической выдачи IP адреса — DHCP, ибо прописывать каждому PC свой адрес — то еще «удовольствие».
Дадим серверу статичный IP 192.168.3.2, а остальных оставим для динамического распределения адресов.
После настройки DHCP, нужно прописать на каждом саб-интерфейсе в R0 команду «ip helper-address 192.168.3.2», тем самым указывая, куда стоит обращаться для получения IP адреса.
После данной команды, устройства получат запрашиваемые IP адреса.
Пингуем с рандомного ПК сам сервер (1 пинг) и шлюзы маршрутизатора (2- 3 пинг) (рис 6).
Дальше для удобства будем эмулировать подключение к провайдеру, путем создания в программе-симуляторе РС провайдера, сервера Serv2 с IP 213.234.60.2 (эмулирующий остальную сеть интернет) и роутера R3.
Настройка NAT
Ну и наконец-то мы дошли до самой настройки NAT.
Для внедрения NAT нужно определиться какие порты будут внешними(outside), а какие внутренними(inside).
Статичный NAT сопоставляет внутренний и внешний адреса один к одному, поэтому настроим Serv2 таким образом, чтобы любой компьютер мог подключиться к серверу, а сервер к компьютеру — нет. Для этого необходимо прописать следующие команды (рис 7):
По итогу, любой компьютер, находящийся во 2 VLAN’е может пинговать сервер провайдера, а обратно — нет (рис 8). Аналогично проделываем для Serv1, находящимся во VLAN 3.
А теперь, на финал, внедрим NAT Overload на R0.
Для этого создадим ACL и пропишем там сети, которые должны «натиться» (показано синим на рис 9) и, показав что нужно «натить», активируем лист (показано красным на рис 9).
Таким образом, реализовав статическую и динамическую (типа PAT) настройку NAT, мы смогли защитить небольшую сеть от подключения извне.
Надеюсь вам понравилась данная статья.
Спасибо за ее чтение, всем хорошего настроения 🙂
Источник