Překlad síťových adres [NAT] brány Zyxel Firewall - Konfigurace 1:1 NAT a mnoha 1:1 NAT na bráně Zyxel Firewall USGFLEX/ATP/VPN

Překlad síťových adres (NAT) je základní síťová technologie, která umožňuje mapování soukromých IP adres na veřejné IP adresy. Jedním ze specifických typů NAT je NAT 1:1, známý také jako statický NAT. Tato metoda mapuje jednu soukromou IP adresu na jednu veřejnou IP adresu a zajišťuje, že každá soukromá adresa má jedinečný, konzistentní veřejný protějšek. Zde je několik reálných scénářů, kdy je NAT 1:1 obzvláště užitečný:

Pochopení 1:1 NAT: aplikace v reálném životě

1:1 NAT neboli statický NAT mapuje jednu soukromou IP adresu na jednu veřejnou IP adresu. Zde je několik reálných aplikací:

1. Hostování serverů: Webové a e-mailové servery v soukromých sítích potřebují veřejný přístup. NAT 1:1 mapuje soukromé IP adresy na veřejné IP adresy a zajišťuje tak bezproblémový přístup.
2. Vzdálený přístup: Zaměstnanci mohou přistupovat k interním zdrojům, jako je vzdálená plocha a servery VPN, prostřednictvím veřejných IP adres mapovaných na jejich soukromé protějšky.
3. Konfigurace DMZ: Vnější služby v DMZ využívají 1:1 NAT pro veřejný přístup a zároveň chrání interní sítě.
4. Migrace sítě: Při přechodech schématu IP zachovává 1:1 NAT dostupnost služeb.
5. Zabezpečení zařízení: Kritická zařízení používají 1:1 NAT pro bezpečný přístup ke správě bez odhalení soukromých IP adres.

Konfigurace NAT 1:1

Nejčastěji se používá virtuální server, který se používá v případě, že chcete zpřístupnit interní server veřejné síti mimo zařízení Zyxel. Na videu na odkazu můžete vidět, jak se konfigurace provádí na předchozí verzi brány firewall. Rozhraní je jiné, ale proces konfigurace se příliš nezměnil.

• Přihlaste se do rozhraní WebGui zařízení
• Přejděte na

• Vytvořte nové pravidlo kliknutím na tlačítko "Přidat".
• Zadejte název pravidla
• Vyberte typ mapování portů na "NAT 1:1".

Pravidlo mapování pro NAT 1:1

Příchozí rozhraní - rozhraní, ze kterého přichází provoz

Zdrojová IP - odkud se uživatelé připojují (např. důvěryhodné IP adresy) Externí IP - IP adresa vaší WAN sítě / odchozího rozhraní vašeho firewallu Interní IP - IP adresa serveru, na který chcete přesměrovat porty.

• Vyberte příchozí rozhraní "wan"
• Zdrojovou IP adresu na "any"

Je možné ručně zadat vnější a vnitřní IP adresy. Důrazně však doporučujeme využít k tomuto účelu objekty. Navíc při vytváření dalších zásad zabezpečení bude tento přístup nezbytný. Vytváření objektů pro pravidla NAT zjednodušuje správu, zlepšuje čitelnost, snižuje složitost, zlepšuje prosazování zásad, umožňuje opakované použití a škálovatelnost, zjednodušuje zálohování a zpětné obnovení a minimalizuje chyby.

Chcete-li vytvořit objekt pro vnější a vnitřní rozhraní, vyberte možnost "Vytvořit nový objekt", která se nachází v levém horním rohu téhož formuláře.

Vytvořte dva objekty "Address" (Adresa)s typem"Interface IP" (IP rozhraní) a "Host" (Hostitel), dejte objektu jasný název a v jednom objektu zadejte adresu vnějšího rozhraní a v druhém pravidle místní adresu webového serveru.

Typ mapování portů

any -budepředávánveškerýprovoz na

Service (Služba) - vyberte objekt služby (protokol) Service-Group (Skupina služeb) - vyberte objekt skupiny služeb (skupina protokolů) Port - vyberte port, který má být předáván

Ports- Vyberte rozsah portů, které mají být předány.

• Externí a interní IP, vyberte dříve vytvořené objekty

• Typ mapování portů zadejte "Port"

• Typ protokolu "any"

• Vnější a vnitřní porty jsou v našem příkladu stejné

Poznámka:

• Externí port je port, který externí uživatel používá pro přístup k bráně firewall v síti WAN.
• Interní port je port, který je předáván interně v síti LAN.
• Může se jednat o překlad 1:1 (port 80 na 80) nebo například port 80 na 8080.

zpětná smyčka NAT

Zpětná smyčka NAT se používá uvnitř sítě k dosažení interního serveru pomocí veřejné IP adresy. Zkontrolujte, zda je povolena zpětná smyčka NAT, a klikněte na tlačítko OK (umožňuje uživatelům připojeným k libovolnému rozhraní používat také pravidlo NAT).

Přidejte pravidlo brány firewall pro povolení NAT 1 na 1

• Přejděte na

• Vytvořte nové pravidlo kliknutím na tlačítko "Přidat".

• Zadejte název pravidla

• V poli "Od" nastavte hodnotu"WAN".

• V poli "Komu" nastavte " "LAN".

• V poli "Destination" vyberte dříve vytvořený objekt "WebServer".

• Vyberte preferovanou službu nebo skupinu služeb. V tomto případě je vybrána možnost HTTP_8080.
• Nastavte položku "Action" na hodnotu " allow".
• Klikněte na tlačítko OK.

Konfigurace mnoha 1:1 NAT

Funkce Many 1:1 NAT slouží k předávání veškerého provozu z více externích IP adres (veřejných IP adres) na více interních IP adres (privátních IP adres) v rámci zadaného rozsahu. Je důležité si uvědomit, že tato funkce přeposílá všechny porty; výběr portů není v konfiguraci Many 1:1 NAT k dispozici.

Poznámka! Soukromé a veřejné rozsahy musí mít stejný počet IP adres.

Vytvoření pravidla Many 1:1 NAT

• Přihlaste se do WebGui zařízení
• Přejděte na

• Vytvořte nové pravidlo kliknutím na tlačítko "Přidat".
• Zadejte název pravidla
• Vyberte typ mapování portů na "NAT 1:1".

Pravidlo mapování pro mnoho NAT 1:1

• Příchozí rozhraní - rozhraní, ze kterého přichází provoz (obvykle wan1 (nebo wan1_PPPoE))
• Zdrojová IP - odkud se uživatelé připojují (např. důvěryhodné IP).
• Externí IP podsíť/rozsah - rozsah IP adres vaší sítě WAN / odchozího rozhraní firewallu (povoleny jsou pouze rozsahy a podsítě - nikoli objekty hostitelů)
• Internal IP Subnet/Range - IP adresy serveru, na který chcete předávat veřejné IP adresy.
• Typ mapování portů
• any - bude předáván veškerý provoz (všimněte si, že funkce Many 1:1 NAT bude předávat pouze "ALL traffic").
• Zpětná smyčka NAT - Zpětná smyčka NAT umožňuje uživatelům připojit se k veřejným IP adresám, když se nacházejí za firewallem.

Vytvoření pravidla řízení zásad

V posledním kroku musíme vytvořit pravidlo Policy Control, které umožní průchod provozu na server.

Postupujte podle následujících kroků:

• Stisknutím tlačítka"Přidat" vložte nové pravidlo.
• Zadejte název pravidla Policy Control.
• Nastavte možnost Z "WAN" na"LAN".
• Jako "Destination" (Cíl) vložte objekt IP adresy vašeho serveru.
• Vyberte preferovanou"Službu" nebo"Skupinu služeb". V tomto případě vyberte"HTTP_8080".
• Nastavte"Action" na"allow".
• Kliknutím na tlačítko"OK" pravidlo uložte.