Использовать NAT для общего доступа к серверам с частными IP-адресами в частной сети

1. Случай использования
2. Топология сети
3. Обзор решения
4. Примеры конфигурационных файлов
5. Требования
6. Как это устроено
7. Объяснения конфигурации
8. Конфигурация внешнего интерфейса
9. Статическая настройка NAT
10. Динамическая настройка NAT
11. Резюме
12. Вариант 2 - использовать NAT 1-к-1
13. Конфигурация внешнего интерфейса
14. Конфигурация сети 1-к-1 NAT
15. Конфигурация политики
16. Другие соображения
17. Резюме
18. Заключение

Примеры конфигурационных файлов, созданных с помощью - WSM v11.10.1

Пересмотрено -

Случай использования

В этом случае использования организация имеет два почтовых сервера с частными IP-адресами в дополнительной сети Firebox. Организация должна убедиться, что эти два сервера могут обмениваться электронной почтой с серверами за пределами локальной сети, даже если они имеют частные IP-адреса.

Этот вариант использования включает в себя два варианта конфигурации, чтобы продемонстрировать, как можно использовать NAT для сопоставления общедоступных IP-адресов с серверами, расположенными за вашей Firebox.

Этот пример конфигурации предоставляется в качестве руководства. Дополнительные параметры конфигурации могут быть необходимыми или более подходящими для вашей сетевой среды.

Топология сети

В этом случае два почтовых сервера SMTP имеют частные IP-адреса и расположены за Firebox в дополнительной сети.

В примерах файлов конфигурации Firebox и серверы электронной почты используют следующие IP-адреса:

Цель в этом примере - обеспечить передачу трафика между серверами электронной почты за Firebox и общедоступным Интернетом. IP-адреса, которые мы хотим перевести для каждого почтового сервера:

Обзор решения

В этом примере конфигурации демонстрируются два разных типа конфигурации NAT, которые можно использовать для преобразования общедоступных IP-адресов серверов электронной почты в соответствующие частные IP-адреса для входящего и исходящего трафика.

• Вариант 1. Использование статического NAT для входящего трафика и динамического NAT для исходящего трафика
• Вариант 2 - использовать NAT 1-к-1 для входящего и исходящего трафика

Примеры конфигурационных файлов

Для справки, мы включили примеры конфигурационных файлов в этот документ. Чтобы изучить детали каждого примера файла конфигурации, вы можете открыть его с помощью диспетчера политик. Этот пример конфигурации сопровождает два файла конфигурации. Эти файлы конфигурации включены в nat_mail_example_configs.zip файл.

• nat_snat_dnat_mail.xml - Пример файла конфигурации для статического NAT и динамического NAT
• nat_1-to-1_mail.xml - Пример файла конфигурации для 1-к-1 NAT

Требования

Топка

Статическая конфигурация NAT, показанная в этом примере, предназначена для Firebox, который использует Fireware OS v11.5.x или выше. В версиях Fireware до 11.4.1 статическая конфигурация NAT будет выглядеть немного иначе.

Почтовые серверы

Два SMTP-сервера, настроенные как общедоступные почтовые серверы, каждый с собственным IP-адресом.

Мы не рекомендуем подключать общедоступные серверы, такие как веб-сервер, FTP-сервер или почтовый сервер, к той же сети, которая подключается к внутренним пользователям или другим закрытым сетевым ресурсам. Поскольку эти серверы общедоступны, они представляют потенциальную уязвимость для вашей внутренней сети. Вместо этого подключите эти общедоступные серверы к отдельной сети от других ресурсов вашей внутренней сети и пользователей. В этом примере почтовые серверы являются частью сети, подключенной к Firebox, настроенному как Необязательный .

Публичные IP-адреса для использования на почтовых серверах

У вас должен быть общедоступный IP-адрес для сопоставления с каждым сервером. В этом примере мы используем два IP-адреса для двух почтовых серверов. Это может упростить настройку использования соседних IP-адресов, если у вас более одного сервера.

DNS MX Record

Для некоторых типов серверов, таких как почтовые серверы в этом примере, необходимо создать записи DNS для преобразования в общедоступные IP-адреса серверов. Для почтовых серверов вам нужна запись MX для каждого сервера.

Как это устроено

NAT относится к нескольким типам IP-адресов и трансляции портов. Все типы NAT позволяют Firebox автоматически изменять один IP-адрес на другой IP-адрес в источнике или пункте назначения пакета, обрабатываемого политикой. В этих примерах конфигурации мы используем три разных типа NAT для преобразования общедоступного IP-адреса в частный IP-адрес каждого сервера для входящего и исходящего трафика.

• Динамический NAT - обрабатывает преобразование адресов для трафика, который покидает интерфейс Firebox.
• Статический NAT - обрабатывает преобразование адреса для трафика, который входит во внешний интерфейс
• NAT 1-к-1 - обрабатывает преобразование адресов для трафика, который входит или покидает интерфейс

Этот пример демонстрирует, как можно настроить NAT двумя различными способами для достижения одного и того же результата.

• В варианте 1 мы используем динамический NAT и статический NAT для обработки входящего и исходящего трафика на почтовые серверы.
• В варианте 2 мы используем один-к-одному NAT для достижения того же результата с меньшим количеством шагов.

Все NAT основаны на политике. Политики в конфигурации устройства определяют, применяется ли каждый тип NAT к трафику, обрабатываемому каждой политикой.

• Для NAT 1-в-1 и динамического NAT - параметры NAT на вкладке « Дополнительно » политики определяют, применяются ли параметры, настроенные в разделе « Сеть»> «NAT», к трафику, обрабатываемому этой политикой. Для динамического NAT вы можете настроить политику на использование параметров сетевого NAT или указать IP-адрес источника, который будет использоваться для динамического NAT.

• Для статического NAT - политика использует статический NAT для исходящего трафика, если в разделе политики To: содержится действие статического NAT.

Объяснения конфигурации

Вариант 1 - использовать статический NAT и динамический NAT

Эта конфигурация демонстрирует, как использовать статический NAT и динамический NAT для преобразования IP-адресов почтового сервера для входящего и исходящего трафика. Пример файла конфигурации, показанный здесь: nat_snat_dnat_mail .xml.

Конфигурация внешнего интерфейса

Внешний интерфейс настроен с двумя вторичными IP-адресами, по одному для каждого почтового сервера. Сначала необходимо добавить эти вторичные внешние IP-адреса, чтобы их можно было выбирать при настройке статического действия NAT.

Эти IP-адреса являются общедоступными IP-адресами в записях DNS MX для двух почтовых серверов и используются в статической и динамической конфигурации NAT.

Статическая настройка NAT

SMTP-трафик не разрешен входящий по умолчанию. Пример конфигурации включает в себя политику SMTP-прокси, чтобы разрешить входящий трафик SMTP на два почтовых сервера. Политика SMTP-прокси, которая обрабатывает входящий трафик SMTP, содержит статическое действие NAT (SNAT) для выполнения NAT на входящем трафике на два почтовых сервера с любых внешних интерфейсов.

Чтобы увидеть статическое действие NAT в политике:

1. Откройте пример файла конфигурации с помощью диспетчера политик.
2. Откройте политику SMTP-прокси .
   Откроется диалоговое окно «Редактировать свойства политики».

Правило SNAT в этой политике изменяет IP-адреса назначения для входящего трафика с общедоступного IP-адреса каждого сервера на частный IP-адрес каждого сервера. Эффект этого действия SNAT в политике SMTP-Proxy:

• Для входящего SMTP-трафика на Почтовый сервер 1 измените IP-адрес назначения с 203.0.113.25 на 10.0.2.25.
• Для входящего SMTP-трафика на Почтовый сервер 2 измените IP-адрес назначения с 203.0.113.26 на 10.0.2.26.

Действие SNAT обрабатывает NAT для трафика, который поступает на эти серверы. Но поскольку действие SNAT применяется только к входящему трафику, нам необходимо использовать динамический NAT для преобразования исходного IP-адреса для трафика, отправляемого почтовыми серверами через внешний интерфейс. Для этого мы используем динамический NAT в политиках, которые обрабатывают исходящий SMTP-трафик.

Динамическая настройка NAT

Конфигурация динамического NAT по умолчанию автоматически применяет динамический NAT ко всему трафику от одного из трех диапазонов частных IP-адресов до любого внешнего интерфейса. По умолчанию динамический NAT включен для трафика, который начинается в любом определенном RFC 1918 диапазоне частных IP-адресов и покидает любой внешний интерфейс.

Для просмотра конфигурации динамического NAT по умолчанию выберите « Сеть»> «NAT» .

Каждое из этих динамических действий NAT переводит трафик из источника в пункт назначения . Если трафик соответствует источнику и назначению в действии динамического NAT, динамический NAT изменяет исходный IP-адрес на первичный IP-адрес интерфейса назначения.

Влияние третьего динамического действия NAT по умолчанию 10.0.0.0/8 - Any-External на трафик с наших почтовых серверов:

• Для исходящего трафика с почтового сервера 1 измените IP-адрес источника с 10.0.1.25 на 203.0.113.2
• Для исходящего трафика с почтового сервера 2 измените IP-адрес источника с 10.0.1.26 на 203.0.113.2

Но это поведение по умолчанию не то, что мы хотим. Мы хотим изменить исходный IP-адрес для каждого почтового сервера, чтобы он соответствовал общедоступному IP-адресу для этого сервера. То, что мы хотим сделать, это:

• Для исходящего трафика с почтового сервера 1 измените IP-адрес источника с 10.0.1.25 на 203.0.113.25
• Для исходящего трафика с почтового сервера 2 измените IP-адрес источника с 10.0.1.26 на 203.0.113.26

Чтобы переопределить исходный IP-адрес, используемый динамическим действием NAT по умолчанию, мы создаем политики для обработки исходящего SMTP-трафика с каждого из этих серверов. В каждой политике мы указываем исходный IP-адрес, который будет использоваться для динамического NAT. В данном примере это политики SMTP-out-MS_1 для трафика с почтового сервера 1 и SMTP-out-MS_2 для трафика с почтового сервера 2.

Чтобы увидеть конфигурацию политики исходящего трафика с почтового сервера 1:

1. Откройте политику SMTP-out-MS_1 .
2. Перейдите на вкладку « Дополнительно ».

Динамический NAT Весь трафик в этой политике и параметрах Set source IP выбран. Исходный IP-адрес установлен на общедоступный IP-адрес Почтового сервера 1, 203.0.113.25. Для трафика, обрабатываемого этой политикой, динамический NAT изменяет IP-адрес источника на IP-адрес источника, установленный в политике, а не на основной IP-адрес внешнего интерфейса.

Чтобы динамический NAT правильно использовал IP-адрес источника в этой политике, политика должна соответствовать двум требованиям:

• Политика должна разрешать трафик только через один интерфейс.
• IP- адрес источника динамического набора NAT должен находиться в той же подсети, что и IP-адрес интерфейса в разделе «Кому» политики.

1. Чтобы убедиться, что эта политика соответствует этим требованиям, перейдите на вкладку Политика .

Эта политика разрешает трафик:

С 10.0.2.25 - частный IP-адрес Почтового сервера 1.

Для внешнего - имя определенного внешнего интерфейса. Это соответствует первому требованию.

Исходный IP-адрес в этой политике (203.0.113.25) находится в той же подсети, что и IP-адрес внешнего интерфейса (203.0.113.2). Это соответствует второму требованию.

Пример конфигурации также включает политику, настроенную для обработки динамического NAT для исходящего трафика для Почтового сервера 2. Чтобы просмотреть исходящий трафик конфигурации политики из Почтового сервера 2:

1. Откройте политику SMTP-out-MS_2 .
2. Перейдите на вкладку « Дополнительно » для просмотра конфигурации IP-адреса источника динамического NAT.
3. Перейдите на вкладку « Политика », чтобы увидеть источник и назначение трафика, обрабатываемого политикой.

IP-адрес источника, установленный в этих двух политиках, имеет такой эффект:

• Для исходящего трафика с почтового сервера 1 измените IP-адрес источника с 10.0.2.25 на 203.0.113.25
• Для исходящего трафика с почтового сервера 2 измените IP-адрес источника с 10.0.2.26 на 203.0.113.26

Резюме

Статические и динамические действия и политики NAT в этой конфигурации работают совместно для обработки преобразования адресов в заголовках IP-пакетов для входящего и исходящего трафика на оба почтовых сервера.

Объединенные параметры конфигурации статического NAT (SNAT) и динамического NAT (DNAT) имеют такой эффект:

Вариант 2 - использовать NAT 1-к-1

Другой способ настроить NAT для этих почтовых серверов - использовать NAT 1-к-1 вместо статического и динамического NAT. Так как NAT 1-к-1 обрабатывает как входящий, так и исходящий трафик, требуется меньше шагов для настройки NAT 1-к-1, чем для настройки динамического и статического NAT на одних и тех же серверах. Пример файла конфигурации, показанный здесь, это nat_1-to-1_mail.xml.

Конфигурация внешнего интерфейса

Конфигурация внешнего интерфейса не включает два вторичных IP-адреса. Это отличается от конфигурации внешнего интерфейса для Варианта 1. Вам не нужно добавлять IP-адреса вторичного внешнего интерфейса, чтобы настроить их в параметрах NAT 1-к-1.

Конфигурация сети 1-к-1 NAT

Сетевые параметры NAT 1-к-1 применяются к трафику, который обрабатывается всеми политиками в конфигурации, в которых установлен флажок 1-к-1 NAT. Пример конфигурации имеет одно правило NAT 1-к-1, которое обрабатывает входящий и исходящий NAT для обоих почтовых серверов.

Чтобы увидеть настройки NAT 1-к-1:

1. Откройте пример файла конфигурации в диспетчере политик.
2. Выберите Сеть> NAT .
3. Нажмите вкладку 1-к-1 NAT .

Вот как вы читаете каждый столбец этой конфигурации:

Интерфейс

Это действие 1-к-1 NAT применяется к входящему и исходящему трафику на внешнем интерфейсе.

Количество хостов

Здесь указывается количество IP-адресов, к которым применяется действие 1-к-1 NAT. В этом случае это относится к 2 хостам.

NAT Base

База NAT - это самый низкий IP-адрес в диапазоне адресов для перевода. Базовый диапазон NAT представляет собой серию последовательных IP-адресов, вплоть до числа хостов, с указанным базовым IP-адресом NAT в качестве самого низкого адреса в диапазоне. В этом примере количество хостов равно 2, поэтому диапазон базовых адресов NAT состоит из следующих адресов:

203.0.113.25 - публичный IP-адрес Почтового сервера 1

203.0.113.26 - публичный IP-адрес Почтового сервера 2

Реальная база

Реальная база - это самый низкий IP-адрес, это диапазон адресов источника для перевода. Диапазон Real Base - это серия последовательных IP-адресов, вплоть до числа хостов, с указанным IP-адресом в качестве самого низкого адреса в диапазоне. В этом примере количество хостов равно 2, поэтому диапазон адресов Real Base состоит из следующих адресов:

10.0.2.25 - частный IP-адрес Почтового сервера 1

10.0.2.26 - частный IP-адрес Почтового сервера 2

В этом примере мы можем настроить сопоставление NAT 1-к-1 с диапазоном IP-адресов, поскольку публичные IP-адреса и частные IP-адреса двух почтовых серверов являются последовательными. Когда мы определяем преобразование NAT 1-в-1 как диапазон, Real Base и База NAT для Mail Server 2 являются вторыми адресами в диапазоне.

Если публичные или частные IP-адреса серверов не были последовательными (например, если частный IP-адрес Почтового сервера 2 в этом примере был 10.0.2.50), вы можете добавить одно сопоставление NAT 1-к-1 для обработки отображение NAT для каждого сервера.

Даже если ваши серверы имеют последовательные IP-адреса, для ясности может потребоваться настроить сопоставление NAT 1-к-1 как два отдельных сопоставления. Для сравнения вы можете посмотреть на конфигурацию NAT 1-к-1 в файле конфигурации (слева) рядом с эквивалентной конфигурацией с отдельными сопоставлениями NAT для каждого хоста (справа).

Эти два параметра конфигурации NAT 1-к-1 эквивалентны.

Независимо от того, настроено ли одно правило NAT 1-к-1 для применения к диапазону IP-адресов, или настроены отдельные правила NAT 1-к-1 для каждого сервера, NAT 1-к-1 работает одинаково. В этом примере эффект конфигурации NAT 1-к-1:

NAT 1-к-1 для почтового сервера 1:

• Для трафика, поступающего на внешний интерфейс, если IP-адрес назначения - 203.0.113.25, измените его на 10.0.1.25.
• Для трафика, исходящего из внешнего интерфейса, если IP-адрес источника равен 10.0.1.25, измените его на 203.0.113.25.

NAT 1-к-1 для почтового сервера 2:

• Для трафика, поступающего на внешний интерфейс, если IP-адрес назначения - 203.0.113.26, измените его на 10.0.1.26.
• Для исходящего трафика из внешнего интерфейса, если IP-адрес источника равен 10.0.1.26, измените его на 203.0.113.26.

Конфигурация политики

SMTP-трафик не разрешен входящий по умолчанию. Пример конфигурации включает в себя политику SMTP-прокси, чтобы разрешить входящий трафик SMTP на два почтовых сервера. Параметры NAT по умолчанию в политике SMTP-прокси включают NAT 1-к-1, поэтому никаких изменений в настройках NAT по умолчанию в политике не требуется. По умолчанию как NAT-1, так и Dynamic NAT включены во всех политиках. NAT 1-к-1 имеет приоритет над динамическим NAT, если оба применяются к трафику в политике.

Чтобы увидеть политику SMTP-прокси

1. Откройте политику SMTP-прокси .

Эта политика отправляет трафик непосредственно на общедоступные IP-адреса почтовых серверов. Это IP-адреса в базе NAT конфигурации NAT 1-к-1. В отличие от политики в первом примере конфигурации, этой политике не требуется действие SNAT, потому что NAT-1-к-1 заботится о преобразовании адресов.

1. Перейдите на вкладку « Дополнительно », чтобы просмотреть настройки NAT по умолчанию.
   

Вы можете видеть, что включен 1-к-1 NAT (Использовать настройки сетевого NAT) . Это по умолчанию.

Пример конфигурации также имеет политику SMTP для обработки SMTP-трафика от Any-Optional до External. Эта политика является необязательной, поскольку исходящая политика по умолчанию также разрешает этот трафик. Как для политики SMTP, так и для исходящей политики по умолчанию включен NAT 1-к-1, поэтому никаких изменений в настройках NAT в политике не требуется.

Другие соображения

Настраиваемые параметры NAT 1-к-1 включены по умолчанию во всех политиках. Если ваш почтовый сервер также используется для других типов исходящего трафика, и вы не хотите, чтобы этот другой трафик подвергался сопоставлению NAT 1-к-1, убедитесь, что вы отключили NAT 1-к-1 на вкладке Advanced. политики, которая обрабатывает этот трафик. Например, если ваш почтовый сервер также время от времени используется для загрузки по FTP с внешнего сервера, и вы не хотите, чтобы трафик FTP отображался на вашем почтовом сервере, удалите настройки NAT 1-к-1 на вкладке «Дополнительно» политики FTP.

Резюме

Конфигурация NAT 1-к-1 обеспечивает способ настройки двунаправленного NAT в одном месте и не требует никаких изменений настроек NAT по умолчанию в политиках, если только вы не хотите отключить NAT 1-к-1 для определенного типа трафика.

• Для входящего трафика, адресованного IP-адресу назначения в базе NAT , NAT 1-к-1 изменяет IP-адрес назначения на соответствующий IP-адрес в Реальной базе .
• Для исходящего трафика с исходного IP-адреса в реальной базе 1-к-1 NAT изменяет исходный IP-адрес на соответствующий IP-адрес в базе NAT .

Конфигурация NAT 1-к-1 в этом примере имеет такой эффект:

Заключение

В этом примере конфигурации трафик с внешнего почтового сервера или пользователя направляется на общедоступный IP-адрес одного из внутренних почтовых серверов. Действия NAT в конфигурации автоматически изменяют назначение на внутренний IP-адрес сервера. Для почты, отправленной с почтовых серверов через внешний интерфейс, действия NAT в конфигурации автоматически заменяют исходный IP-адрес на общедоступный IP-адрес каждого сервера.

Эти примеры конфигурации показали два метода для настройки этого, и в процессе продемонстрировали эти возможности статического NAT, динамического NAT и 1-к-1 NAT:

• Статический NAT обрабатывает входящий NAT, а динамический NAT обрабатывает исходящий NAT. При совместном использовании они могут обрабатывать NAT в обоих направлениях.
• NAT 1-к-1 обрабатывает как входящие, так и исходящие трансляции сетевых адресов.

Вы можете использовать любую из этих опций для реализации NAT на серверах в вашей собственной сети.

Похожие

Комментарии