Firewall Zyxel NAT: cómo configurar la traducción de direcciones de red (NAT) 1 a 1 en el firewall Zyxel de la serie USG Flex H

Características clave del NAT 1:1:

• Asignación directa: conecta una IP pública a una IP privada.
• Casos de uso específicos: ideal para situaciones en las que se necesita un enlace directo entre una IP externa y una interna.
• Traducción de direcciones de red de origen (SNAT): cambia la IP de origen del tráfico saliente a la IP pública.

Cuándo utilizar el NAT 1:1 con ejemplos del mundo real:

1.  

   Servidores de alojamiento:

    

   • Servidor web: Si su organización tiene un servidor web con una IP privada de 192.168.1.10, puede asignarle una IP pública como 203.0.113.10. Los usuarios externos pueden acceder a su sitio web utilizando la IP pública, mientras que el servidor permanece en la red privada.
   • Servidor de correo: Un servidor de correo con una IP privada de 192.168.1.20 puede asignarse a una IP pública de 203.0.113.20. Esto permite a los usuarios enviar y recibir correos electrónicos utilizando la dirección IP pública.
   • Servidor FTP: Se puede acceder a un servidor FTP con una IP privada de 192.168.1.30 a través de una IP pública de 203.0.113.30, lo que permite a los usuarios externos cargar y descargar archivos.

    

2.  

   Compatibilidad de aplicaciones:

    

   • Sistema VoIP: Algunos sistemas VoIP requieren direcciones IP públicas estáticas para garantizar una comunicación fiable. Por ejemplo, un servidor VoIP con una IP privada de 192.168.1.40 puede asignarse a una IP pública de 203.0.113.40 para garantizar una comunicación de voz fluida.
   • Servidor de juegos en línea: A un servidor de juegos en línea con una IP privada de 192.168.1.50 se le puede asignar una IP pública de 203.0.113.50 para permitir que los jugadores de todo el mundo se conecten utilizando una dirección IP constante.

    

3.  

   Control de acceso basado en IP:

    

   • Cámaras de seguridad: Una organización podría utilizar NAT 1:1 para permitir el acceso remoto a las cámaras de seguridad. Un sistema de cámaras con una IP privada de 192.168.1.60 puede asignarse a una IP pública de 203.0.113.60, lo que permite la supervisión remota al tiempo que se aplican reglas de acceso específicas.
   • Sistemas de acceso a edificios: En el caso de los sistemas que controlan el acceso a edificios, como los lectores de tarjetas, un dispositivo con una IP privada de 192.168.1.70 puede asignarse a una IP pública de 203.0.113.70. Esto permite a los administradores gestionar el acceso de forma remota, al tiempo que se mantienen políticas de acceso seguras.

    

En resumen, el NAT 1:1 resulta útil para asignar directamente direcciones IP públicas externas a direcciones IP privadas internas, garantizar la compatibilidad de determinadas aplicaciones e implementar un control de acceso basado en IP. Estos ejemplos reales muestran cómo diversos servidores y sistemas pueden beneficiarse del NAT 1:1.

En este ejemplo, configuraremos el acceso al servidor de correo desde la WAN utilizando una IP pública

 Configuración > Red > NAT y cree una nueva regla haciendo clic en el botón «Añadir»

A continuación, puede rellenar todos los campos obligatorios.

• Habilite la regla NAT
• Asigne un nombre que refleje la esencia de la regla
• Seleccione el tipo de asignación de puertos «NAT 1:1»
• Interfaz de entrada a WAN
• IP de origen: Cualquiera
• IP externa: utiliza tu IP externa
• IP interna: especifica la dirección IP a la que se requiere acceso
• Tipo de mapeo de puertos: depende de lo que esté haciendo (Cualquiera: se reenviará todo el tráfico; Servicio: seleccione un objeto de servicio (un protocolo); Grupo de servicios: seleccione un objeto de grupo de servicios (un grupo de protocolos); Puerto: seleccione un puerto que deba reenviarse; Puertos: seleccione un rango de puertos que deba reenviarse) 
• Habilitar bucle de retorno NAT
• Aplicar todos los cambios

El bucle de retorno NAT se utiliza dentro de la red para acceder al servidor interno mediante la IP pública. Compruebe si el bucle de retorno NAT está habilitado y haga clic en Aceptar (permite que los usuarios conectados a cualquier interfaz también utilicen la regla NAT)

Configurar la política de seguridad en el USG FLEX H

En este ejemplo, configuraremos el acceso a nuestro servidor web desde la WAN

Política de seguridad > Control de políticas y cree una nueva regla haciendo clic en el botón «Añadir» 

A continuación, puede rellenar todos los campos obligatorios.

• Habilitar política
• Asigne un nombre que refleje la esencia de la regla
• Desde: WAN
• A - LAN
• Origen: Cualquiera
• Destino: la subred LAN donde se encuentra su servidor (LAN_SUBNET_GE3 en este ejemplo) oseleccione el objeto creado en el paso anterior
• Servicio: HTTPS
• Usuario: Cualquiera
• Acción: permitir
• Aplicar todos los cambios

Solución de problemas de la configuración de NAT 1:1

• Verificar las reglas NAT: Compruebe que las reglas NAT 1:1 estén correctamente configuradas, asegurándose de que la dirección IP interna de su servidor de correo esté correctamente asignada a la dirección IP pública correcta.

• Reglas del cortafuegos: Asegúrese de que las reglas del cortafuegos estén configuradas para permitir el tráfico en los puertos necesarios (por ejemplo, el puerto 443 para HTTPS).

• Registros y diagnósticos: supervise periódicamente los registros del cortafuegos y utilice herramientas de diagnóstico para comprobar el flujo de tráfico. Esto puede ayudar a identificar y resolver problemas rápidamente.

• Asegúrese de que todas las direcciones IP públicas estén correctamente enrutadas. Para verificarlo, asigne cada dirección IP pública al puerto WAN de la serie USG FLEX H de forma individual.

• Pruebe el acceso a Internet utilizando cada dirección IP pública para confirmar que funciona correctamente.

• Póngase en contacto con su proveedor de servicios de Internet (ISP) para asegurarse de que el enrutamiento de sus direcciones IP públicas está correctamente configurado y activo.