Zyxel-brandvägg NAT – så här konfigurerar du 1-till-1-NAT (Network Address Translation) på brandväggen Zyxel USG Flex H-serien

Viktiga funktioner i 1:1 NAT:

• Direkt mappning: Kopplar en offentlig IP-adress till en privat IP-adress.
• Specifika användningsfall: Perfekt för situationer där en direkt länk mellan en extern och en intern IP-adress behövs.
• Source Network Address Translation (SNAT): Ändrar käll-IP:n för utgående trafik till den publika IP-adressen.

När ska man använda 1:1 NAT – exempel från verkligheten:

1.  

   Hostingservrar:

    

   • Webbserver: Om din organisation har en webbserver med den privata IP-adressen 192.168.1.10 kan du mappa den till en offentlig IP-adress som 203.0.113.10. Externa användare kan komma åt din webbplats med hjälp av den offentliga IP-adressen, medan servern förblir i det privata nätverket.
   • E-postserver: En e-postserver med en privat IP-adress på 192.168.1.20 kan mappas till en offentlig IP-adress på 203.0.113.20. Detta gör det möjligt för användare att skicka och ta emot e-postmeddelanden med hjälp av den offentliga IP-adressen.
   • FTP-server: En FTP-server med den privata IP-adressen 192.168.1.30 kan nås via den publika IP-adressen 203.0.113.30, vilket gör det möjligt för externa användare att ladda upp och ladda ner filer.

    

2.  

   Programkompatibilitet:

    

   • VoIP-system: Vissa VoIP-system kräver statiska, offentliga IP-adresser för tillförlitlig kommunikation. Till exempel kan en VoIP-server med den privata IP-adressen 192.168.1.40 mappas till den offentliga IP-adressen 203.0.113.40 för att säkerställa smidig röstkommunikation.
   • Onlinespelserver: En onlinespelserver med en privat IP-adress på 192.168.1.50 kan tilldelas en offentlig IP-adress på 203.0.113.50 för att spelare över hela världen ska kunna ansluta sig med en konsekvent IP-adress.

    

3.  

   IP-baserad åtkomstkontroll:

    

   • Säkerhetskameror: En organisation kan använda 1:1 NAT för att möjliggöra fjärråtkomst till säkerhetskameror. Ett kamerasystem med den privata IP-adressen 192.168.1.60 kan mappas till den publika IP-adressen 203.0.113.60, vilket möjliggör fjärrövervakning samtidigt som specifika åtkomstregler tillämpas.
   • Åtkomstsystem för byggnader: För system som styr åtkomst till byggnader, såsom kortläsare, kan en enhet med den privata IP-adressen 192.168.1.70 mappas till den publika IP-adressen 203.0.113.70. Detta gör det möjligt för administratörer att hantera åtkomsten på distans samtidigt som säkra åtkomstpolicyer upprätthålls.

    

Sammanfattningsvis är 1:1 NAT användbart för att direkt koppla externa publika IP-adresser till interna privata IP-adresser, säkerställa kompatibilitet för vissa applikationer och implementera IP-baserad åtkomstkontroll. Dessa exempel från verkligheten visar hur olika servrar och system kan dra nytta av 1:1 NAT.

I det här exemplet ska vi konfigurera åtkomst till e-postservern från WAN med hjälp av den offentliga IP-adressen

 Konfiguration > Nätverk > NAT och skapa en ny regel genom att klicka på knappen "Lägg till"

Sedan kan du fylla i alla obligatoriska fält.

• Aktivera NAT-regeln
• Ge regeln ett namn som beskriver dess syfte
• Välj portmappningstypen "1:1 NAT"
• Inkommande gränssnitt till WAN
• Käll-IP till Vilken som helst
• Extern IP – använd din externa IP
• Intern IP – ange den IP-adress som åtkomst krävs till
• Portmappningstyp – beror på vad du gör (Alla – all trafik vidarebefordras, Tjänst – välj ett tjänsteobjekt (ett protokoll), Tjänstegrupp – välj ett tjänstegruppobjekt (en grupp av protokoll), Port – välj en port som ska vidarebefordras, Portar – välj ett portintervall som ska vidarebefordras) 
• Aktivera NAT-loopback
• Tillämpa alla ändringar

NAT-loopback används inom nätverket för att nå den interna servern med hjälp av den publika IP-adressen. Kontrollera om NAT-loopback är aktiverat och klicka på OK (gör det möjligt för användare som är anslutna till valfritt gränssnitt att också använda NAT-regeln)

Konfigurera säkerhetspolicyn på USG FLEX H

I det här exemplet ska vi konfigurera åtkomst till vår webbserver från WAN

Säkerhetspolicy > Policykontroll och skapa en ny regel genom att klicka på knappen "Lägg till" 

Sedan kan du fylla i alla obligatoriska fält.

• Aktivera policy
• Ge regeln ett namn som fångar dess essens
• Från – WAN
• Till – LAN
• Källa – Valfri
• Destination – LAN-subnät där din server finns (LAN_SUBNET_GE3 i detta exempel) ellervälj det objekt som skapades i föregående steg
• Tjänst – HTTPS
• Användare – Vilken som helst
• Åtgärd – tillåt
• Tillämpa alla ändringar

Felsökning av 1:1 NAT-konfiguration

• Kontrollera NAT-regler: Kontrollera noga att 1:1 NAT-reglerna är korrekt konfigurerade och se till att den interna IP-adressen för din e-postserver är korrekt mappad till rätt offentlig IP-adress.

• Brandväggsregler: Se till att brandväggsreglerna är inställda så att trafik tillåts på nödvändiga portar (t.ex. port 443 för HTTPS).

• Loggar och diagnostik: Övervaka regelbundet brandväggsloggarna och använd diagnostikverktyg för att kontrollera trafikflödet. Detta kan hjälpa till att identifiera och lösa problem snabbt.

• Se till att alla publika IP-adresser är korrekt routade. För att verifiera detta, tilldela varje publik IP-adress till USG FLEX H-seriens WAN-port individuellt.

• Testa internetåtkomsten med varje offentlig IP-adress för att bekräfta att den fungerar korrekt.

• Kontakta din internetleverantör för att säkerställa att routningen för dina publika IP-adresser är korrekt konfigurerad och aktiv.