Zyxel Firewall Network Address Translation [NAT] - Konfigurera 1:1 NAT och många 1:1 NAT på Zyxel Firewall USGFLEX/ATP/VPN

NAT (Network Address Translation) är en grundläggande teknik inom nätverk som gör det möjligt att mappa privata IP-adresser till publika IP-adresser. En specifik typ av NAT är 1:1 NAT, även känd som statisk NAT. Den här metoden mappar en enda privat IP-adress till en enda offentlig IP-adress, vilket säkerställer att varje privat adress har en unik, konsekvent offentlig motsvarighet. Här är några verkliga scenarier där 1:1 NAT är särskilt användbart:

Förstå 1:1 NAT: Verkliga tillämpningar

1:1 NAT, eller statisk NAT, mappar en enda privat IP-adress till en enda offentlig IP-adress. Här följer några verkliga tillämpningar:

1. Värdservrar: Webb- och e-postservrar i privata nätverk behöver offentlig åtkomst. 1:1 NAT mappar privata IP-adresser till publika IP-adresser och säkerställer sömlös åtkomst.
2. Fjärråtkomst: Anställda kan komma åt interna resurser som fjärrskrivbord och VPN-servrar via offentliga IP-adresser som mappas till deras privata motsvarigheter.
3. DMZ-konfiguration: Tjänster som vänder sig externt i DMZ:er använder 1:1 NAT för offentlig åtkomst samtidigt som de skyddar interna nätverk.
4. Migrering av nätverk: Under övergångar till IP-scheman upprätthåller 1:1 NAT tjänsternas tillgänglighet.
5. Enhetssäkerhet: Kritiska enheter använder 1:1 NAT för säker hanteringsåtkomst utan att exponera privata IP-adresser.

Konfigurera NAT 1:1

Virtual server är vanligast och används när man vill göra den interna servern tillgänglig för ett publikt nätverk utanför Zyxel Device. I videon på länken kan du se hur konfigurationen utförs på den tidigare versionen av brandväggen. Gränssnittet är annorlunda, men konfigurationsprocessen har inte förändrats mycket.

• Logga in på enhetens WebGui
• Navigera till

• Skapa en ny regel genom att klicka på knappen "Lägg till"
• Ange namn på regeln
• Välj portmappningstyp till "NAT 1:1"

Mappningsregel för 1:1 NAT

Inkommande gränssnitt - det gränssnitt som trafiken kommer från

Source IP - varifrån användarna ansluter (t.ex. betrodda IP-adresser) Extern IP - IP-adressen för ditt WAN/utgående gränssnitt på din brandvägg Intern IP - IP-adressen för den server som du vill vidarebefordra portarna till

• Välj ditt inkommande gränssnitt till "wan"
• Käll-IP till "vilken som helst"

Det är möjligt att manuellt ange externa och interna IP-adresser. Vi rekommenderar dock starkt att du använder objekt för detta ändamål. När du skapar ytterligare säkerhetspolicyer kommer det här tillvägagångssättet dessutom att vara nödvändigt. Att skapa objekt för NAT-regler förenklar hanteringen, förbättrar läsbarheten, minskar komplexiteten, förbättrar policyhanteringen, möjliggör återanvändning och skalbarhet, förenklar säkerhetskopiering och återställning samt minimerar antalet fel.

Om du vill skapa ett objekt för det externa och interna gränssnittet väljer du alternativet "Create new object" i det övre vänstra hörnet av samma formulär.

Skapa två "Address"-objekt av typen"Interface IP" och "Host", ge objekten ett tydligt namn och ange i det ena objektet adressen till ditt externa gränssnitt och i det andra den lokala adressen till din webbserver.

Typ av portmappning

any -alltrafik på kommer att vidarebefordras

Service - Välj ett serviceobjekt (ett protokoll) Service-Group - Välj ett servicegruppsobjekt (en grupp protokoll) Port - Välj en port som ska vidarebefordras

Ports - Välj ett portintervall som ska vidarebefordras

• Extern och intern IP, välj de tidigare skapade objekten

• Portmappningstyp specificera "Port"

• Protokoll Typ till "valfritt"

• Externa och interna portar i vårt exempel är desamma

Notera:

• Den externa porten är den port som den externa användaren använder för att komma till brandväggen på WAN
• Den interna porten är den port som vidarebefordras internt på LAN
• Detta kan både vara en 1:1-översättning (port 80 till 80) eller port 80 till 8080, till exempel

NAT-loopback

NAT-loopback används i nätverket för att nå den interna servern med hjälp av den publika IP:n. Kontrollera om NAT-loopback är aktiverat och klicka på OK (gör att användare som är anslutna till valfritt gränssnitt också kan använda NAT-regeln)

Lägg till en brandväggsregel för att tillåta NAT 1 till 1

• Navigera till

• Skapa en ny regel genom att klicka på knappen "Lägg till"

• Ange namn på regeln

• I fältet "Från" anger du"WAN"

• I fältet "Till" anger du "LAN"

• I fältet "Destination" väljer du ett tidigare skapat "WebServer" -objekt

• Välj önskad tjänst eller tjänstegrupp. I det här fallet väljs HTTP_8080.
• Ställ in "Action" på allow.
• Klicka på OK-knappen.

Konfigurera många 1:1 NAT

Funktionen Many 1:1 NAT används för att vidarebefordra all trafik från flera externa IP-adresser (publika IP-adresser) till flera interna IP-adresser (privata IP-adresser) inom ett angivet intervall. Det är viktigt att notera att den här funktionen vidarebefordrar alla portar; portval är inte tillgängligt i konfigurationen av Many 1:1 NAT.

Obs! De privata och publika intervallen måste ha samma antal IP-adresser.

Skapa NAT-regeln för många 1:1

• Logga in på enhetens WebGui
• Navigera till

• Skapa en ny regel genom att klicka på knappen "Lägg till"
• Ange namn på regeln
• Välj portmappningstyp till "NAT 1:1"

Mappningsregel för många 1:1 NAT

• Inkommande gränssnitt - det gränssnitt som trafiken kommer från (vanligtvis wan1 (eller wan1_PPPoE))
• Source IP - Från varifrån användarna ansluter (t.ex. betrodda IP-adresser)
• Externt IP-subnät/intervall - IP-adressintervallet för brandväggens WAN/utgående gränssnitt (endast intervall och subnät tillåtna - inte värdobjekt)
• Internal IP Subnet/Range - IP-adresserna på den server som du vill vidarebefordra de offentliga IP-adresserna till
• Typ av portmappning
• any - all trafik på kommer att vidarebefordras (observera att NAT-funktionen Many 1:1 endast vidarebefordrar "ALL trafik")
• NAT Loopback - NAT Loopback gör det möjligt för användare att ansluta till de publika IP-adresserna när de befinner sig bakom brandväggen.

Skapa regel för policykontroll

Som sista steg måste vi skapa en policykontrollregel för att tillåta trafik att passera till servern.

Följ dessa steg:

• Tryck på knappen"Add" för att infoga en ny regel.
• Ange ett namn för Policy Control-regeln.
• Ställ in Från "WAN" till"LAN".
• Ange din servers IP-adressobjekt som "Destination".
• Välj önskad"Service" eller"Service Group". I det här fallet väljer du"HTTP_8080".
• Ställ in"Action" på"allow".
• Klicka på knappen"OK" för att spara regeln.