Zyxel Firewall Network Address Translation [NAT] - Configurar 1:1 NAT y Many 1:1 NAT en Zyxel Firewall USGFLEX/ATP/VPN

Traducción de direcciones de red (NAT) es una tecnología fundamental en la creación de redes que permite la asignación de direcciones IP privadas a direcciones IP públicas. Un tipo específico de NAT es la NAT 1:1, también conocida como NAT estática. Este método asigna una única dirección IP privada a una única dirección IP pública, garantizando que cada dirección privada tenga una contrapartida pública única y coherente. He aquí algunos escenarios de la vida real en los que la NAT 1:1 resulta especialmente útil:

NAT 1:1: Aplicaciones reales

La NAT 1:1, o NAT estática, asigna una única dirección IP privada a una única dirección IP pública. He aquí algunas aplicaciones de la vida real:

1. Alojamiento de servidores: Los servidores web y de correo electrónico de las redes privadas necesitan acceso público. La NAT 1:1 asigna IP privadas a IP públicas, garantizando un acceso sin fisuras.
2. Acceso remoto: Los empleados pueden acceder a recursos internos como Escritorio Remoto y servidores VPN a través de IP públicas asignadas a sus homólogas privadas.
3. Configuración DMZ: Los servicios externos en zonas desmilitarizadas utilizan NAT 1:1 para la accesibilidad pública al tiempo que protegen las redes internas.
4. Migraciones de red: Durante las transiciones de esquemas IP, la NAT 1:1 mantiene la accesibilidad de los servicios.
5. Seguridad de dispositivos: Los dispositivos críticos utilizan NAT 1:1 para un acceso de gestión seguro sin exponer las IP privadas.

Configurar NAT 1:1

El servidor virtual es el más utilizado y se utiliza cuando se quiere poner el servidor interno a disposición de una red pública externa al Dispositivo Zyxel. En el vídeo del enlace puedes ver cómo se realiza la configuración en la versión anterior del firewall. La interfaz es diferente, pero el proceso de configuración no ha cambiado mucho.

• Inicie sesión en el WebGui del dispositivo
• Navegue hasta

Configuration > Network > NAT 

• Cree una nueva regla haciendo clic en el botón "Añadir
• Especifique el nombre de la regla
• Seleccione el tipo de asignación de puertos a "NAT 1:1".

Regla de asignación para NAT 1:1

Interfaz entrante - la interfaz de la que procede el tráfico

IP de origen - Desde donde se conectan los usuarios (por ejemplo, IPs de confianza) IP externa - La dirección IP de su WAN / interfaz saliente de su cortafuegos IP interna - La dirección IP del servidor al que desea reenviar los puertos

• Seleccione su interfaz entrante a "wan"
• IP de origen a "cualquiera

Es posible especificar manualmente las direcciones IP externa e interna. Sin embargo, recomendamos encarecidamente utilizar objetos para este fin. Además, al crear políticas de seguridad adicionales, este enfoque será necesario. Crear objetos para reglas NAT simplifica la gestión, mejora la legibilidad, reduce la complejidad, mejora la aplicación de políticas, permite la reutilización y la escalabilidad, simplifica las copias de seguridad y las reversiones, y minimiza los errores.

Para crear un objeto para la interfaz externa e interna, seleccione la opción "Crear nuevo objeto" situada en la esquina superior izquierda del mismo formulario.

Cree dos objetos "Dirección"con el tipo"Interface IP" y "Host" dé un nombre claro al objeto y especifique en un objeto la dirección de su interfaz externa y en la segunda regla la dirección local de su Servidor Web.

Tipo de mapeo de puertos

any -sereenviarátodo eltráfico

Service - Seleccione un objeto de servicio (un protocolo) Service-Group - Seleccione un objeto de grupo de servicio (un grupo de protocolos) Port- Seleccione un puerto que necesita ser reenviado

Puertos - Seleccione un rango de puertos que necesita ser reenviado

• IP Externa e Interna, seleccione los objetos creados previamente

• Port mapping Type especifique "Port"

• Protocolo Especifique "cualquiera

• Los puertos Externos e Internos en nuestro ejemplo son los mismos

Nota:

• El puerto externo es el puerto que el usuario externo utiliza para acceder al cortafuegos en la WAN.
• El puerto interno es el puerto que se reenvía internamente en la LAN.
• Puede ser una traducción 1:1 (puerto 80 a 80) o puerto 80 a 8080, por ejemplo.

NAT loopback

NAT loopback se utiliza dentro de la red para llegar al servidor interno utilizando la IP pública. Compruebe si NAT loopback está activado y pulse OK (permite a los usuarios conectados a cualquier interfaz utilizar también la regla NAT)

Añada una regla de Firewall para permitir el NAT 1 a 1

• Navegue hasta

Configuration > Security Policy > Policy Control 

• Cree una nueva regla haciendo clic en el botón "Añadir

• Especifique el nombre de la regla

• En el campo "Desde", seleccione"WAN".

• En el campo "A", seleccione " LAN".

• En el campo "Destino", seleccione un objeto "Servidor Web" creado previamente.

• Seleccione su Servicio o Grupo de Servicios preferido. En este caso, seleccione HTTP_8080.
• Establezca "Acción" en permitir.
• Pulse el botón OK.

Configurar muchos NAT 1:1

La función Many 1:1 NAT se utiliza para reenviar todo el tráfico de múltiples direcciones IP externas (IPs públicas) a múltiples direcciones IP internas (IPs privadas) dentro de un rango especificado. Es importante tener en cuenta que esta función reenvía todos los puertos; la selección de puertos no está disponible en la configuración de Many 1:1 NAT.

Nota. Los rangos privado y público deben tener el mismo número de direcciones IP.

Crear la regla Many 1:1 NAT

• Inicie sesión en el WebGui del dispositivo
• Navegue hasta

Configuration > Network > NAT 

• Cree una nueva regla haciendo clic en el botón "Añadir
• Especifique el nombre de la regla
• Seleccione el tipo de asignación de puertos a "NAT 1:1".

Regla de asignación para NAT 1:1

• Interfaz entrante - la interfaz de la que proviene el tráfico (normalmente wan1 (o wan1_PPPoE))
• IP de origen - Desde donde se conectan los usuarios (por ejemplo, IPs de confianza)
• External IP Subnet/Range - el rango de direcciones IP de su WAN / interfaz saliente de su cortafuegos (sólo se permiten rangos y subredes - no objetos host)
• Internal IP Subnet/Range - Las direcciones IP del servidor al que quiere reenviar las direcciones IP públicas
• Tipo de asignación de puertos
• any - se reenviará todo el tráfico (tenga en cuenta que la función Many 1:1 NAT sólo reenviará "TODO el tráfico")
• NAT Loopback - NAT loopback permite a los usuarios conectarse a las IPs públicas cuando están detrás del cortafuegos.

Crear regla de control de políticas

Como paso final, necesitamos crear una regla de Control de Políticas para permitir que el tráfico pase a través del servidor.

Siga estos pasos:

Go to the Configuration > Security Policy > Policy Control

• Pulse el botón"Añadir" para insertar una nueva regla.
• Proporcione un nombre para la regla de Control de Políticas.
• Establezca De "WAN" a"LAN".
• Introduzca la dirección IP de su servidor como "Destino".
• Seleccione su"Servicio" o"Grupo de servicios" preferido. En este caso, seleccione"HTTP_8080".
• Establezca"Acción" como"Permitir".
• Haga clic en el botón"Aceptar" para guardar la regla.