Opis ogólny ustawień NAT na podstawie Vigora serii 2700

Transkrypt

1 Routery Vigor mogą obsługiwać dwie niezależne podsieci IP w ramach sieci LAN. Podsieć pierwsza przeznaczona jest dla realizacji mechanizmu NAT, aby umożliwić komputerom korzystanie z tzw. prywatnych adresów IP. Adresy prywatne to grupy adresów wydzielone w ramach klas adresów A, B i C, nieobsługiwane przez urządzenia publicznej sieci (czyli nie można się za ich pomocą komunikować w Internecie). Zakresy prywatnych adresów IP: /8 ( ) /12 ( ) /16 ( ) Adresy prywatne mogą być wielokrotnie wykorzystywane w lokalnych, zamkniętych sieciach różnych organizacji (tzw. Intranetach), a ich użycie jest dowolne i nie wymaga uzyskania oficjalnego zezwolenia czy przydziału. Pomysł ten zrodził się jako jeden z środków zaradczych wobec kurczenia się puli adresów IP w latach intensywnego rozwoju Internetu. Został wykorzystany przez producentów urządzeń, którzy opracowali sposób na dostęp do Internetu dla maszyn zaadresowanych z puli prywatnej translację adresów. NAT (ang. Network Address Translation) pozwala na wykorzystanie jednego bądź kilku adresów publicznych do obsłużenia całej komunikacji pomiędzy siecią prywatną a Internetem. Pakiety wychodzące z sieci prywatnej do Internetu muszą mieć adres źródłowy podmieniony na adres publiczny, aby mogły osiągnąć cel. Dzięki temu możliwa będzie odpowiedź systemu zdalnego i wzajemna komunikacja przez Internet. Kiedy pakiet opuszcza podsieć 1, router Vigor w polu jego adresu źródłowego umieszcza adres publiczny uzyskany od operatora Kiedy przychodzi odpowiedź, jest ona zaadresowana na ten właśnie adres własny routera, a komputer odpowiadający nie wie jaki jest rzeczywisty adres maszyny prowadzącej dialog. Przekazanie pakietu do właściwego komputera jest już lokalną sprawą routera NAT. Aby obsłużyć wiele niezależnych procesów komunikacji na raz, stosuje się odwzorowywanie portów źródłowych na tzw. pseudo-porty, wybierane przez router z określonego zakresu. Do tego dochodzą różne operacje dodatkowe, mające na celu usprawnienie mechanizmu translacji adresów. Ponieważ podsieć prywatna jest ukryta za pojedynczym adresem routera, nie jest możliwe wysyłanie pakietów z Internetu bezpośrednio na adresy poszczególnych komputerów, a jedynie na adres routera. Każdy pakiet przychodzący, który nie jest wysłany w odpowiedzi na inny pakiet w ramach sesji wymiany zainicjowanej przez lokalny komputer, będzie zawsze odrzucony przez router. Ma to swoje zalety w postaci domyślnego maskowania sieci, jednak z drugiej strony ogranicza możliwości korzystania z usług i zasobów sieci prywatnej. Jednak wykorzystując pewne informacje pomocnicze, jak numery portów protokołów, można zdefiniować reguły kierowania określonego ruchu na dane adresy prywatne. Proces ten jest określany jako NAPT (ang. Network Address & Port Translation) i funkcjonuje w routerach Vigor w kilku odmianach, opisanych dalej. Dla uniknięcia niejednoznaczności wszystkie funkcje związane z przeadresowywaniem ruchu przychodzącego ustawione są według przyznanych im priorytetów ważności. Układ priorytetów jest niezmienny i wygląda następująco: Przekierowania portów Otwarte Porty Hosty DMZ W konsekwencji, dla danego pakietu przychodzącego jako pierwsze brane są pod uwagę ustawienia funkcji Przekierowania portów i następuje obsługa pakietu zgodnie z zawartą tam regułą. Jeżeli dla pakietu nie istnieje tam żadna reguła, następuje przejście do funkcji Otwarte Porty. Jeżeli żadna z reguł tej funkcji nie pasuje do odebranego pakietu, zaczyna się poszukiwanie adresu IP Hosta DMZ. Jeżeli tylko jest on aktywny, pakiet zostanie wysłany na jego adres (niezależnie od numeru portu docelowego patrz opis DMZ). Jeżeli strefa DMZ nie została uruchomiona, pakiet zostanie odrzucony. 1/8

2 Przekierowania Portów Ustawienia te dotyczą ruchu przychodzącego od strony sieci publicznej, zaadresowanego na określony numer portu protokołu TCP bądź UDP. Istnieje tutaj możliwość skierowania takiego ruchu na ten sam bądź inny port docelowy funkcjonujący na wybranej maszynie należącej do sieci prywatnej. Możliwe jest zatem publiczne udostępnianie różnych usług, działających na tym samym bądź różnych serwerach w sieci LAN. Warto zauważyć, że wystarczy do tego jeden publiczny adres IP przydzielony od strony interfejsu ADSL. Istotną zaletą jest też bezpieczeństwo wewnętrzny rozkład ruchu i rzeczywista struktura sieci są ukryte przez mechanizm NAT: Indeks numer przekierowania (1-10) Nazwa usługi dowolny komentarz administratora, np. www, ftp. Protokół należy wybrać protokół, który ma być przekierowany (TCP lub UDP) Publiczny port oryginalny numer portu, oczekiwany dla danej usługi (np. 80, 23, 25, 21 itd). Należy pamiętać, że pewne usługi korzystają z więcej niż jednego portu np. ftp. Jeżeli w grę wchodzą całe grupy portów można wykorzystać opcję Otwarte Porty. Prywatny IP prywatny adres maszyny-serwera w sieci lokalnej, na który zostanie skierowany ruch Prywatny port rzeczywisty numer portu, na którym funkcjonuje usługa (niekoniecznie standardowy, jeżeli serwer pozwala użyć innego i na takim porcie oczekuje na zgłoszenia klientów). Aktywne włączenie danego przekierowania Analogicznie możliwe jest też przekierowywanie portów wewnętrznych, tzn. realizacja odwzorowania portów pomiędzy dwoma adresami IP z sieci prywatnej, np. dla ukrycia rzeczywistego adresu/portu serwera obsługującego lokalnych użytkowników. 2/8

3 Hosty DMZ Funkcja ta pozwala na nadanie wybranej maszynie w sieci lokalnej statusu tzw. strefy zdemilitaryzowanej DMZ (ang. Demilitarized Zone). Komputer taki nie jest osłonięty mechanizmem NAT w tym sensie, że następuje proste przekierowanie wszystkich możliwych portów na ten właśnie adres IP. Od strony sieci publicznej host taki jest zatem dostępny tak samo jak gdyby to on posiadał publiczny adres IP w rzeczywistości przypisany do interfejsu routera. Istotne jest jednak to, że router nadal zapewnia ochronę za pomocą reguł filtrowania ruchu i alarmowania o różnego rodzaju podejrzanej aktywności od strony Internetu. DMZ może służyć do zastosowań generujących duży ruch i korzystających z wielu portów np. wielofunkcyjne komunikatory typu NetMeeting, gry internetowe typu Quake, Starcraft itp. Menu konfiguracji hostów DMZ umożliwia wybranie: Żaden brak zdefiniowanego hosta DMZ (nieaktywna strefa zdemilitaryzowana) Prywatny IP wpisz (lub wybrać z listy Wybierz hosta) odpowiedni Prywatny IP do strefy zdemilitaryzowanej Publiczny IP wpisz MAC-adres hosta otrzymującego IP WAN-u routera. Od strony Internetu host będzie widziany jako posiadający publiczny adres IP, który dotychczas posiadał router. Również wychodząc na zewnątrz host legitymuje się adresem publicznym (jakby NAT nie istniał i jakby host taki podpięty był z pominięciem routera.) Istotne jest również to, że router nadal zapewnia jemu ochronę za pomocą reguł filtrowania ruchu i alarmowania o różnego rodzaju podejrzanej aktywności od strony Internetu. Uwagi: 1. Funkcja DMZ - Publiczny IP zadziała, gdy na routerze mamy włączony serwer DHCP. 2. Funkcja ta wymusza trwałą aktywność łącza WAN (opcja Zawsze aktywne w PPPoE/PPPoA). 3/8

4 Otwarte Porty Ta opcja NAT pozwala przeadresować ruch dla pewnego ciągłego zakresu portów, wysyłając go na określony prywatny adres IP. Można to wykorzystać na przykład do upublicznienia usług korzystających z kilku kolejnych portów, czy też odsłonięcia wybranego, niestandardowego zakresu portów na danym hoście w celach szczególnych np. do testowania własnych aplikacji sieciowych. W oknie głównym powyżej wyświetlane są stany bieżących profili: Indeks numer reguły (1-10) Komentarz pomocniczy ciąg znaków wprowadzony dla opisu Lokalny adres IP adres IP hosta, na który skierowano ruch Stan pozycja aktywna bądź nie Wyczyść wszystko sprowadzenie wszystkich wpisów do stanu wyjściowego, równoznaczne z usunięciem zdefiniowanych przekierowań 4/8

5 Po kliknięciu na wybraną cyfrę otwiera się okno definicji przekierowania: Włącz uaktywnienie danego przekierowania Komentarz dowolny komentarz administratora Host lokalny docelowy adres IP można wybrać z listy bądź wpisać w odpowiednie pola w oknie Możliwe jest wybranie do 10 zakresów portów dla protokołów TCP jak i UDP. Protokół protokół transportowy (TCP lub UDP) Port początkowy pierwszy port definiowanego zakresu Port końcowy ostatni port definiowanego zakresu Anuluj rezygnacja z zatwierdzenia zmian i wyjście z menu Wyczyść wszystko sprowadzenie wszystkich wpisów do stanu wyjściowego, równoznaczne z usunięciem zdefiniowanych przekierowań Warto zwrócić uwagę na fakt, iż nie ma tutaj możliwości odwzorowania oryginalnych portów wyznaczonych ruchem przychodzącym na inne, niestandardowe. Dokonuje się raczej otwarcia zakresu portów na danym hoście lokalnym. Wspomnianą możliwość oferuje tylko funkcja Przekierowania portów (patrz opis wcześniej), przez co trzeba ją uznać za nieco bezpieczniejszą. Dlatego jeżeli celem jest przekierowanie pojedynczego portu np. dla udostępnienia usługi www zaleca się skorzystać z funcji Przekierowania portów. 5/8

6 Popularne Numery Portów Producent dołączył użyteczną informację w postaci listy standardowych portów używanych przez popularne usługi sieciowe: 6/8

7 Multi-NAT (wielokrotny NAT) Do interfejsu ADSL routera Vigor, oprócz podstawowego adresu IP przydzielanego statycznie bądź dynamicznie przez operatora, można przypisać kilka zakupionych dodatkowo adresów stałych. Będą to tak zwane aliasy IP, czyli swego rodzaju adresy dodatkowe, traktowane przez router podobnie jak adres podstawowy. Ich obecność poszerza możliwości komunikacyjne, co widać szczególnie w przypadku funkcji NAT. Dodatkowe adresy przypisuje się w tym samym menu co adres podstawowy przy konfiguracji Dostępu do Internetu poprzez ADSL. Należy wybrać pole Dodatkowe IP interfejsu WAN, pokazane na rysunku dla dostępu MPoA. To samo pole jest dostępne również w opcji PPPoE/PPPoA: Po kliknięciu na wskazane pole otwiera się okno, w którym można zarządzać dodatkowymi adresami IP. Pierwszy adres na liście (adres podstawowy) staje się tam obecny w sposób automatyczny po poprawnej konfiguracji połączenia z Internetem, i automatycznie staje się adresem NAT. Kolejne adresy aliasy należy wprowadzić ręcznie. Uwaga Adresy dodatkowe muszą należeć do wspólnej podsieci właściwej dla adresu podstawowego. Jeżeli wystąpi niezgodność z maską podsieci, router nie przyjmie dodatkowego wpisu. 7/8

8 Indeks numer porządkowy Włącz zaznaczenie tego pola i wpisanie adresu powoduje jego wystąpienie na interfejsie WAN obok adresów już tam obecnych, tzn. umożliwia kierowanie ruchu również na ten adres routera. WAN IP tutaj należy wpisać posiadany adres dodatkowy Włącz do puli NAT po zaznaczeniu tego pola adres staje się dostępny dla potrzeb translacji adresów, w przeciwnym razie będzie on używany wyłącznie w klasycznym routingu. Dzięki większej liczbie adresów NAT można realizować przekierowanie ruchu w zależności od tego, na który z adresów WAN routera został on wysłany. W praktyce otwiera to możliwość wyznaczenia wielu stref DMZ, czy też uruchomienia w sieci prywatnej kilku publicznych serwerów tej samej usługi. Aby skorzystać z Multi-NAT operator musi przydzielić publiczną podsieć składającą się z więcej niż 1 publicznego adresu IP do dyspozycji użytkownika. W efekcie po wpisaniu aliasów WAN w ramach funkcji Hosty DMZ możliwy jest wybór różnych hostów. Analogicznie, po wejściu w menu Otwarte Porty widać, jak router poszerzył swoją ofertę o dodatkowe adresy publiczne jako potencjalne adresy, na które można kierować ruch z zewnątrz. Uwaga W opcji Przekierowania portów wykorzystuje się wyłącznie podstawowy adres IP interfejsu WAN, tzn. nie jest możliwe przeadresowanie portów dla ruchu przychodzącego na dodatkowe adresy aliasy. Byłoby to funkcjonalnie zbędne i zbyt uciążliwe obliczeniowo dla routera (opcja ta wymaga głębszej analizy ruchu niż Hosty DMZ i Otwarte Porty). 8/8