bo sung nat

1. Tổng quan về NAT

1.1. Mô tả NAT

Dịch địa chỉ là thay thế địa chỉ thực trong một packet thành địa chỉ được

ánh xạ có khả năng định tuyến trên mạng đích. Nat gồm có 2 bước: một tiến trình

dịch địa chỉ thực thành địa chỉ ánh xạ và một tiến trình dịch ngược trở lại. PIX

Firewall sẽ dịch địa chỉ khi một luật Nat kết hợp với packet. Nếu không có sự kết

hợp với luật Nat thì tiến trình xử lý packet được tiếp tục. Ngoại lệ là khi kích hoạt

Nat control. Nat control yêu cầu các packets từ một interface có mức an ninh cao

hơn (inside) đến một interface có mức an ninh thấp hơn (outside) kết hợp với một

luật Nat hoặc các packets phải dừng lại.

Nat có một số lợi ích như sau:

Bạn có thể sự dụng các địa chỉ riêng trên mạng inside. Các địa chỉ này

không được định tuyến trên Internet

Nat ẩn địa chỉ thực của một host thuộc mạng inside trước các mạng khác vì

vậy các attacker không thể học được địa chỉ thực của một host inside

Có thể giải quyết vấn đề chồng chéo địa chỉ IP.

1.2. Nat control

Nat control yêu cầu các packets từ một interface có mức an ninh cao hơn (inside)

đến một interface có mức an ninh thấp hơn (outside) kết hợp với một luật Nat. Bất

cứ host nào trên mạng inside truy cập đến một host trên mạng outside đều phải

được cấu hình dịch địa chỉ.

Các interface có cùng mức an ninh thì không yêu cầu sử dụng Nat để truyền thông

với nhau. Tuy nhiên nếu bạn cấu hình dynamic Nat hoặc Pat trên các interface có

cùng mức an ninh thì tất cả các lưu lượng từ interface đến một interface có cùng

mức an ninh hoặc outside interface cần phải kết hợp với một luật Nat

Tương tự nếu kích hoạt outside dynamic Nat hoặc Pat thì tất cả các lưu lượng

outside cần phải kết hợp với một luật Nat khi truy cập vào mạng inside

2. Các kiểu NAT

2.1 Dynamic NAT

Dynamic Nat dịch một nhóm các địa chỉ thực thành một dải các địa chỉ

được ánh xạ và có khả năng định tuyến trên mạng đích. Các địa chỉ được ánh xạ

có thể ít hơn các địa chỉ thực. Khi một host muốn dịch địa chỉ khi truy cập vào

mạng đích thì PIX sẽ gán cho nó một địa chỉ trong dải địa chỉ được ánh xạ.

Translation chỉ được thêm vào khi host thực khởi tạo kết nối. Translation được

duy trì trong suốt quá trình kết nối. Người sử dụng không thể giữ được địa chỉ IP

khi Translation time out (hết thời gian). Người sử dụng trên mạng đích không thể

khởi tạo kết nối đến host mà sử dụng dynamic Nat thậm chí kết nối này được phép

bởi access list. (chỉ có thể khởi tạo kết nối trong suốt translation).

Với Dynamic Nat mà dải địa chỉ được ánh xạ có số địa chỉ ít hơn số địa chỉ thực

của mạng inside thì xảy ra tình trạng thiếu địa chỉ nếu số lưu lượng vượt qua mức

mong muốn.

2.2. PAT

PAT dịch một nhóm các địa chỉ thực thành một địa chỉ được ánh xạ. Đặc biệt, PIX

dịch địa chỉ thực và port nguồn (real socket) thành địa chỉ được ánh xạ và một port

duy nhất (mapped port) lớn hơn 1024. Mỗi một kết nối yêu cầu một translation

riêng biệt bởi vì port nguồn là khác nhau cho mỗi kết nối.

2.3. Static NAT

Static NAT tạo một translation cố định của một (hoặc nhiều) địa chỉ thực đến một

(hoặc nhiều) địa chỉ được ánh xạ. Đối với Dynamic NAT hoặc PAT thì mỗi host

sẽ sử dụng địa chỉ hoặc cổng khác nhau cho mỗi translation. Bởi vì địa chỉ được

ánh xạ là như nhau cho các kết nối liên tục và tồn tại một translation cố định do đó

với static Nat, người sử dụng ở mạng đích có thể khởi tạo một kết nối đến host

được dịch (nếu accsess list) cho phép.

2.4. Static PAT

Static PAT cũng tương tự như Static NAT, ngoại trừ chúng ta cần phải chỉ ra giao

thức (TCP hoặc UDP) và cổng cho địa chỉ thực và địa chỉ được ánh xạ.

3. Cấu hình Nat Control

Nat Control yêu cầu các packets truyền từ một inside interface đến outsite

interface kết hợp với một luật Nat. Để kích hoạt Nat control sử dụng lệnh sau đây:

hostname(config)# nat-control . Để disable Nat control sử dụng dạng no của lệnh

này.

4. Sử dụng Dynamic NAT và PAT

4.1. Thực hiện Dynamic NAT và PAT

+ Đối với Dynamic NAT và PAT, trước hết cần cấu hình lệnh Nat để nhận diện

các địa chỉ thực của các interface cần dịch. Sau đó cấu hình lệnh Global riêng biệt

chỉ định các địa chỉ được ánh xạ. Mỗi lệnh Nat cần kết hợp với lệnh Global bởi

một số được gọi là Nat ID – được chỉ ra trong mỗi lệnh Nat và global.

+ Chúng ta có thể nhập lệnh Nat cho mỗi interface có cùng Nat ID. Tất cả đều sử

dụng cùng một lệnh Global có cùng Nat ID.

hostname(config)# nat (inside) 1 10.1.2.0 255.255.255.0

hostname(config)# nat (dmz) 1 10.1.1.0 255.255.255.0

hostname(config)# global (outside) 1 209.165.201.3-209.165.201.10

+ Chúng ta cũng có thể nhập lệnh global cho mỗi interface sử dụng cùng một Nat

ID




hostname(config)# global (dmz) 1 10.1.1.23

+ Nếu chúng ta sử dụng các Nat ID khác nhau, chúng ta có thể thiết lập các địa chỉ

thực khác

nhau có

các địa

chỉ được

ánh xạ

khác

nhau




hostname(config)# global (outside) 2 209.165.201.11

+ Chúng ta có thể nhập nhiều lệnh global cho một interface sử dụng cùng một Nat

ID. PIX Firewall sẽ sử dụng lệnh Global Dynamic Nat đầu tiên theo thứ tự chúng

được cấu hình. Sau đó mới sử dụng đến lệnh global Dynamic PAT. Chúng ta có

thể sử dụng cả hai lệnh Dynamic Nat global và Dynamic PAT global, nếu cần sử

dụng Dynamic Nat cho một ứng dụng riêng biệt nào đó và tạo ra một trạng thái dự

phòng bởi lệnh Dynamic PAT global khi lệnh Dynamic NAT global bị cạn kiệt địa

chỉ.



hostname(config)# global (outside) 1 209.165.201.5

+ Đối với Nat outside ta sử dụng từ khóa outside trong lệnh Nat.

hostname(config)# nat (dmz) 1 10.1.1.0 255.255.255.0 outside


hostname(config)# static (inside,dmz) 10.1.1.5 10.1.2.27 netmask 255.255.255.255


hostname(config)# global (inside) 1 10.1.2.30-1-10.1.2.40

4.2. Cấu hình Dynamic NAT và PAT Cấu hình Dynamic Nat và Pat cũng tương tự nhau. Đối với Nat thì sử dụng dải địa

chỉ được ánh xạ còn Dynamic Pat thì chỉ sử dụng một địa chỉ đơn.

+ Chỉ các host được dịch mới có thể tạo một Nat session. Các địa chỉ được ánh xạ

được gán động từ dải địa chỉ được định nghĩa bởi lệnh Global

+ Chỉ các host được dịch mới có thể tạo một Nat session. Các địa chỉ được ánh xạ

được định nghĩa bởi lệnh global là như nhau cho mỗi translation còn các port thì

được gán động.

hostname(config)# nat (real_interface) nat_id real_ip [mask [dns] [outside] [norandomseq]

[[tcp] tcp_max_conns [emb_limit]] [udp udp_max_conns]] hostname(config)# global (mapped_interface) nat_id {mapped_ip[-mapped_ip] | interface}

5. Sử dụng lệnh Static NAT

Với Static Nat translation luôn luôn kích hoạt bởi vì các địa chỉ được ánh xạ được

gán tĩnh từ lệnh Static

+ Không được sử dụng cùng địa chỉ thực hoặc địa chỉ được ánh xạ trong nhiều

lệnh static giữa 2 interface cùng nhau. Không được sử dụng một địa chỉ được ánh

xạ trong lệnh static mà nó đã được định nghĩa trong lệnh global đối với cùng

interface được ánh xạ

+ Nếu gỡ lệnh static thì các kết nối đang tồn tại sử dụng translation này sẽ không

bị ảnh hưởng nếu sử dụng lệnh clear xlate. Hãy sử dụng lệnh Clear local – host.

Để cấu hình Static NAT sử dụng một trong hai lệnh sau:

Đối với policy Static Nat, nhập lệnh sau; hostname(config)# static (real_interface,mapped_interface) {mapped_ip | interface}

access-list acl_name [dns] [norandomseq] [[tcp] tcp_max_conns [emb_limit]] [udp

udp_max_conns]

Tạo access list sử dụng lệnh access – list. Lệnh access – list này chỉ bao gồm

các ACEs permit. Subnet mask nguồn được sử dụng trong access list cũng

được sử dụng cho địa chỉ được ánh xạ. Chúng ta cũng có thể chỉ định port

thực và port nguồn trong access list sẻ dụng toán tử eq.

Đối với regular Static Nat, nhập lệnh sau:

hostname(config)# static (real_interface,mapped_interface) {mapped_ip | interface} real_ip

[netmask mask] [dns] [norandomseq] [[tcp] tcp_max_conns [emb_limit]] [udp

udp_max_conns]

6. Sử dụng Static PAT

Static PAT sẽ dịch địa chỉ thực thành một địa chỉ IP được ánh xạ cũng như

port thực thành port được ánh xạ. Thông thường thì PAT dịch port thực thành một

port được ánh xạ nhưng chúng ta cũng có thể chọn dịch một port thực thành một

port như thế (cùng chỉ số port).

Để cấu hình Static NAT sử dụng một trong hai lệnh sau:

Đối với policy Static PAT, nhập lệnh sau; hostname(config)# static (real_interface,mapped_interface) {tcp | udp} {mapped_ip |

interface} mapped_port access-list acl_name [dns] [norandomseq] [[tcp] tcp_max_conns

[emb_limit]] [udp udp_max_conns]

Tạo access list sử dụng lệnh access – list. Lệnh access – list này chỉ bao gồm

các ACEs permit. Subnet mask nguồn được sử dụng trong access list cũng

được sử dụng cho địa chỉ được ánh xạ. Chúng ta cũng có thể chỉ định port

thực và port nguồn trong access list sẻ dụng toán tử eq.

Đối với regular Static PAT, nhập lệnh sau:

hostname(config)# static (real_interface,mapped_interface) {tcp | udp} {mapped_ip |

interface} mapped_port real_ip real_port [netmask mask] [dns] [norandomseq] [[tcp]

tcp_max_conns [emb_limit]] [udp udp_max_conns]

bo sung nat

Documents