Zyxel-brannmur nettverksadresseoversettelse [NAT] - Konfigurer 1:1 NAT og mange 1:1 NAT på Zyxel-brannmur USGFLEX/ATP/VPN

Network Address Translation (NAT) er en grunnleggende teknologi i nettverk som gjør det mulig å tilordne private IP-adresser til offentlige IP-adresser. En spesifikk type NAT er 1:1 NAT, også kjent som statisk NAT. Denne metoden tilordner én privat IP-adresse til én offentlig IP-adresse, noe som sikrer at hver private adresse har en unik, konsekvent offentlig motpart. Her er noen scenarier fra virkeligheten der 1:1 NAT er spesielt nyttig:

Forstå 1:1 NAT: Anvendelser i det virkelige liv

1:1 NAT, eller statisk NAT, tilordner en enkelt privat IP-adresse til en enkelt offentlig IP-adresse. Her er noen virkelige bruksområder:

1. Hosting av servere: Nett- og e-postservere i private nettverk trenger offentlig tilgang. 1:1 NAT tilordner private IP-adresser til offentlige IP-adresser, noe som sikrer sømløs tilgang.
2. Ekstern tilgang: Ansatte kan få tilgang til interne ressurser som Remote Desktop og VPN-servere via offentlige IP-er som er tilordnet deres private motstykker.
3. DMZ-konfigurasjon: Tjenester som er rettet mot eksterne brukere i DMZ-er, bruker 1:1 NAT for offentlig tilgjengelighet, samtidig som interne nettverk beskyttes.
4. Nettverksmigrering: Under overganger til nye IP-ordninger opprettholder 1:1 NAT tjenestetilgjengeligheten.
5. Enhetssikkerhet: Kritiske enheter bruker 1:1 NAT for sikker administrasjonstilgang uten å eksponere private IP-adresser.

Konfigurer NAT 1:1

Virtuell server er mest brukt og brukes når du ønsker å gjøre den interne serveren tilgjengelig for et offentlig nettverk utenfor Zyxel-enheten. I videoen på lenken kan du se hvordan konfigurasjonen utføres på den forrige versjonen av brannmuren. Grensesnittet er annerledes, men konfigurasjonsprosessen har ikke endret seg mye.

• Logg inn på enhetens WebGui
• Naviger til

• Opprett en ny regel ved å klikke på "Legg til" -knappen
• Angi navnet på regelen
• Velg porttilordningstype til "NAT 1:1"

Mappingsregel for 1:1 NAT

Innkommende grensesnitt - gr ensesnittet som trafikken kommer fra

Kilde-IP - hvor brukerne kobler seg til fra (f.eks. pålitelige IP-er) Ekstern IP - IP-adressen til WAN/utgående grensesnitt på brannmuren Intern IP - IP-adressen til serveren som du vil videresende portene til

• Velg innkommende grensesnitt til "wan"
• Kilde-IP til "hvilken som helst"

Det er mulig å angi de eksterne og interne IP-adressene manuelt. Vi anbefaler imidlertid på det sterkeste at du bruker objekter til dette formålet. Denne tilnærmingen vil dessuten være nødvendig når du oppretter flere sikkerhetsregler. Å opprette objekter for NAT-regler forenkler administrasjonen, forbedrer lesbarheten, reduserer kompleksiteten, forbedrer policyhåndhevelsen, muliggjør gjenbruk og skalerbarhet, forenkler sikkerhetskopiering og tilbakeføring, og minimerer feil.

For å opprette et objekt for det eksterne og interne grensesnittet velger du alternativet "Opprett nytt objekt" øverst til venstre i det samme skjemaet.

Opprett to "Address"-objekter av typen"Interface IP" og "Host", gi objektet et tydelig navn og angi adressen til det eksterne grensesnittet i det ene objektet og den lokale adressen til webserveren i den andre regelen.

Type porttilordning

any - alltrafikk på vil bli videresendt

Service - Velg et tjenesteobjekt (en protokoll) Service-Group - Velg et tjenestegruppeobjekt (en gruppe protokoller) Port - Velg en port som skal videresendes

Port - Velg et portområde som skal videresendes

• Ekstern og intern IP - velg de tidligere opprettede objektene

• Porttilordningstype angir "Port"

• Protokoll Typ til "hvilken som helst"

• Eksterne og interne porter i vårt eksempel er de samme

Vær oppmerksom på dette:

• Den eksterne porten er den porten som den eksterne brukeren bruker for å komme til brannmuren på WAN
• Den interne porten er porten som videresendes internt på LAN
• Dette kan både være en 1:1-oversettelse (port 80 til 80) eller port 80 til 8080, for eksempel

NAT-loopback

NAT-loopback brukes i nettverket for å nå den interne serveren ved hjelp av den offentlige IP-en. Sjekk om NAT-loopback er aktivert, og klikk på OK (gjør at brukere som er koblet til et hvilket som helst grensesnitt, også kan bruke NAT-regelen)

Legg til en brannmurregel for å tillate NAT 1 til 1

• Naviger til

• Opprett en ny regel ved å klikke på "Legg til" -knappen

• Angi navnet på regelen

• I "Fra" -feltet angir du "WAN "

• I "Til" -feltet angir du "LAN"

• I feltet "Destination" velger du et tidligere opprettet "WebServer" -objekt

• Velg ønsket tjeneste eller tjenestegruppe. I dette tilfellet er HTTP_8080 valgt.
• Sett "Handling" til " Tillat".
• Klikk på OK-knappen.

Konfigurere mange 1:1 NAT

Funksjonen Mange 1:1 NAT brukes til å videresende all trafikk fra flere eksterne IP-adresser (offentlige IP-adresser) til flere interne IP-adresser (private IP-adresser) innenfor et spesifisert område. Det er viktig å merke seg at denne funksjonen videresender alle porter; portvalg er ikke tilgjengelig i konfigurasjonen av Many 1:1 NAT.

Merk følgende! De private og offentlige områdene må ha samme antall IP-adresser.

Opprett mange 1:1 NAT-regler

• Logg inn på enhetens WebGui
• Naviger til

• Opprett en ny regel ved å klikke på "Legg til" -knappen
• Angi navnet på regelen
• Velg porttilordningstype til "NAT 1:1"

Tilordningsregel for mange 1:1 NAT

• Innkommende grensesnitt - grensesnittet som trafikken kommer fra (vanligvis wan1 (eller wan1_PPPoE))
• Kilde-IP - hvor brukerne kobler seg til fra (f.eks. betrodde IP-adresser)
• Eksternt IP-delnett/intervall - IP-adresseområdet til WAN/utgående grensesnitt på brannmuren (kun intervaller og delnett er tillatt - ikke vertsobjekter)
• Internt IP-delnett/internt IP-område - IP-adressene til serveren du vil videresende de offentlige IP-adressene til
• Type porttilordning
• hvilken som helst - all trafikk videresendes (merk at NAT-funksjonen Mange 1:1 bare videresender "ALL trafikk")
• NAT Loopback - NAT Loopback gjør det mulig for brukere å koble seg til de offentlige IP-adressene når de befinner seg bak brannmuren.

Opprett regel for policykontroll

Som siste trinn må vi opprette en regel for policykontroll for å tillate trafikk til serveren.

Følg disse trinnene:

• Trykk på knappen"Legg til" for å sette inn en ny regel.
• Oppgi et navn for Policy Control-regelen.
• Sett Fra "WAN" til"LAN".
• Sett inn serverens IP-adresseobjekt som "Destinasjon".
• Velg ønsket"Tjeneste" eller"Tjenestegruppe". I dette tilfellet velger du"HTTP_8080".
• Sett"Handling" til"Tillat".
• Klikk på"OK"-knappen for å lagre regelen.