4.4.2Nat на стороне предприятия

Организации малого и среднего бизнеса подключаются к ISP, используя единственное подключение. Локальный пограничный маршрутизатор, на котором настроена технология NAT, подключается к ISP. Более крупные организации могут использовать несколько подключений к ISP, и в каждом из этих местоположений пограничный маршрутизатор выполняет преобразование сетевых адресов.

Использование NAT на пограничных маршрутизаторах повышает безопасность. Внутренние частные адреса преобразуются каждый раз в разные публичные адреса. Это позволяет скрыть реальный адрес узлов и серверов предприятия. Большинство маршрутизаторов, использующих преобразование NAT, также блокируют пакеты, поступающие извне частной сети за исключением случаев, когда они поступают в ответ на запрос от внутреннего узла.

Многие организации хотят использовать преимущества частных адресов при подключении к Интернету. Организации создают огромные локальные и глобальные сети с частной адресацией и подключаются к Интернету с использованием преобразования сетевых адресов (NAT).

Технология NAT преобразует внутренние частные адреса в один или несколько публичных адресов для маршрутизации в сети Интернет. NAT меняет исходный частный IP-адрес внутри каждого пакета на публично зарегистрированный IP-адрес до передачи его в Интернет.

Организации малого и среднего бизнеса подключаются к ISP, используя единственное подключение. Локальный пограничный маршрутизатор, на котором настроена технология NAT, подключается к ISP. Более крупные организации могут использовать несколько подключений к ISP, и в каждом их этих местоположений пограничный маршрутизатор выполняет преобразование сетевых адресов.

Использование NAT на пограничных маршрутизаторах повышает безопасность. Внутренние частные адреса преобразуются каждый раз в разные публичные адреса. Это позволяет скрыть реальный адрес узлов и серверов предприятия. Большинство маршрутизаторов, использующих преобразование NAT, также блокируют пакеты, поступающие извне частной сети за исключением случаев, когда они поступают в ответ на запрос от внутреннего узла.

4.4.3Статическое и динамическое преобразование nat

Можно настроить преобразование NAT статически или динамически.

Статическое NAT сопоставляет единый внутренний локальный адрес с единым глобальным или публичным адресом. Это сопоставление позволяет всегда связывать определенный внутренний локальный адрес с одним и тем же публичным адресом. Статическое преобразование NAT гарантирует, что внешние устройства всегда получают доступ к внутреннему устройству. В качестве примера можно привести веб-серверы и FTP-серверы, доступные для публики.

Динамическое NAT использует пул доступных публичных Интернет-адресов и назначает их внутренним адресам. Динамическое преобразование NAT назначает внутреннему устройству первый доступный IP-адрес из пула публичных адресов. Этот узел использует назначенный глобальный IP-адрес на протяжении всего сеанса. По завершении сеанса внешний глобальный адрес возвращается в пул и может использоваться другим узлом.

Для обмена данными между внутренними узлами используется внутренний локальный адрес. Публичный адрес, назначенный организации, называется внутренним глобальным адресом. Внутренний глобальный адрес иногда используется как адрес внешнего интерфейса пограничного маршрутизатора.

Маршрутизатор NAT управляет преобразованиями внутренних локальных и глобальных адресов, поскольку на нем хранится таблица, содержащая все пары адресов.

Можно настроить преобразование NAT статически или динамически.

Статическое NAT сопоставляет единый внутренний локальный адрес с единым глобальным или публичным адресом. Это сопоставление позволяет всегда связывать определенный внутренний локальный адрес с одним и тем же публичным адресом. Статическое преобразование NAT гарантирует, что внешние устройства всегда получают доступ к внутреннему устройству. В качестве примера можно привести веб-серверы и FTP-серверы, доступные для публики.

Динамическое NAT использует пул доступных публичных Интернет-адресов и назначает их внутренним адресам. Динамическое преобразование NAT назначает внутреннему устройству первый доступный IP-адрес из пула публичных адресов. Этот узел использует назначенный глобальный IP-адрес на протяжении всего сеанса. По завершении сеанса внешний глобальный адрес возвращается в пул и может использоваться другим узлом.

Для обмена данными между внутренними узлами используется внутренний локальный адрес. Публичный адрес, назначенный организации, называется внутренним глобальным адресом. Внутренний глобальный адрес иногда используется как адрес внешнего интерфейса пограничного маршрутизатора.

Маршрутизатор NAT управляет преобразованиями внутренних локальных и глобальных адресов, поскольку на нем хранится таблица, содержащая все пары адресов.

При настройке статического или динамического преобразования NAT:

перечислите все серверы, для которых необходим постоянный внешний адрес;

определите, для каких внутренних узлов необходимо преобразование;

определите, какие интерфейсы являются источником внутреннего трафика (они станут внутренними интерфейсами);

определите, какой интерфейс передает трафик в Интернет (он станет внешним интерфейсом);

определите диапазон доступных публичных адресов.

Настройка статического NAT

1. Определите публичный IP-адрес, который должны использовать внешние пользователи для получения доступа к внутреннему устройству/серверу. Администраторы обычно используют адреса, расположенные в начале или в конце диапазона статического NAT. Сопоставьте внутренний (частный) адрес с публичным адресом.

2. Настройте внутренний и внешний интерфейсы.

Настройка динамического NAT

1. Укажите пул доступных публичных IP-адресов.

2. Создайте список контроля доступа (ACL-список) и укажите узлы, для которых требуется выполнять преобразование.

3. Назначьте интерфейсы как внутренние или внешние.

4. Свяжите список доступа и пул адресов.

Важной частью настройки динамического преобразования NAT является использование стандартных списков контроля доступа. Стандартные ACL-списки используются для задания диапазона узлов, для которых необходимо выполнять преобразование. Это выполняется в форме разрешения или отказа. В ACL-список может входить вся сеть, подсеть или просто определенный узел. ACL-список может варьироваться от одной строчки до набора из нескольких разрешений и отказов.