Sophos NGFW Bài 1_T3_[Lab] Cấu hình NAT trên NGFW

MỤC LỤC​

• Phần 1: Bản chất kỹ thuật & Khi nào sử dụng 4 kiểu NAT?
• Phần 2: Hướng dẫn cấu hình chi tiết 4 Luật NAT
  • 3.1. Luật 1: SNAT - PAT (Masquerading cho mạng LAN ra Internet)
  • 3.2. Luật 2: SNAT - Static NAT (1-to-1 Outbound cho Web Server)
  • 3.3. Luật 3: DNAT - Port Forwarding (PAT Inbound cho Web Server)
  • 3.4. Luật 4: DNAT - Static NAT (1-to-1 Inbound cho Web Server)
• Phần 3: 2 Lưu ý về Thứ tự Luật (Rule Order)

PHẦN 1: BẢN CHẤT KỸ THUẬT & KHI NÀO SỬ DỤNG 4 KIỂU NAT?​

PHẦN 2: HƯỚNG DẪN CẤU HÌNH CHI TIẾT 4 LUẬT NAT​

1. Cấu hình SNAT (Source NAT - Chiều từ TRONG ra NGOÀI)​

A. PAT (Masquerading) - Cho phép nhiều máy trong LAN dùng chung 1 IP Public để ra Internet​

• Mục đích: Cho phép người dùng mạng nội bộ LAN chia sẻ 1 IP WAN để ra Internet làm việc.

Đây là cấu hình phổ biến nhất.

1. Vào Rules and policies > NAT rules > Chọn Add NAT rule.
2. Cấu hình các thông số sau:
   • Name:
     Original source: Chọn mạng LAN của bạn (hoặc Any).
     Translated source (SNAT): Chọn MASQ (Nó sẽ tự động lấy IP của cổng WAN).
   • Destination criteria:
     • Original destination: Any
     • Original service: Any
   • Interface criteria:
     • Inbound interface: Any
     • Outbound interface: Chọn cổng WAN của bạn
3. Nhấn Save.

B. Static SNAT (1:1 NAT chiều đi) - Cố định 1 máy nội bộ luôn ra ngoài bằng 1 IP Public cụ thể​

Dùng khi bạn có một Server trong LAN và muốn khi nó ra Internet, các dịch vụ bên ngoài chỉ nhìn thấy một IP Public cố định (khác với IP Public của rule PAT ở trên).

• Mục đích: Cố định IP Public đầu ra cho Web Server khi gửi dữ liệu ra Internet (giữ nguyên 100% Port nguồn gốc).

1. Add NAT rule mới.
2. Cấu hình:
   • Name: Static_SNAT_Server
   • Source criteria:
     • Original source: Chọn IP Private của Server (ví dụ: 192.168.1.50).
     • Translated source (SNAT): Chọn IP Public tương ứng mà bạn muốn gán cho Server này (IP này phải thuộc dải WAN của bạn).
   • Destination criteria:
     • Original destination: Any
   • Interface criteria:
     • Outbound interface: Chọn cổng WAN.
3. Nhấn Save.

Lưu ý quan trọng cho SNAT: Để các rule này hoạt động, bạn phải đảm bảo có một Firewall Rule tương ứng cho phép Traffic đi từ vùng LAN (Source Zone) ra vùng WAN (Destination Zone).

2. Cấu hình DNAT (Destination NAT - Chiều từ NGOÀI vào TRONG)​

Sophos v18+ hỗ trợ tính năng DNAT assistant giúp cấu hình cực kỳ nhanh. Tuy nhiên, cấu hình thủ công dưới đây sẽ giúp bạn hiểu rõ bản chất hơn:
Ví dụ: Bạn muốn public một Web Server nội bộ (192.168.1.100) chạy port 80 ra ngoài Internet qua IP WAN bằng port 8080.

A. Port Forwarding (PAT chiều vào) - Public một dịch vụ cụ thể ra ngoài​

• Mục đích: Chỉ mở cổng HTTP (80) và HTTPS (443) từ bên ngoài Internet vào Web Server DMZ, chống quét cổng dịch vụ trái phép.

1. Add NAT rule.
2. Cấu hình:
   • Name: DNAT_Web_Server_Port_Forward
   • Source criteria:
     • Original source: Any
   • Destination criteria:
     • Original destination: Chọn IP WAN của Sophos (hoặc Port2 - IP).
     • Original service: Tạo hoặc chọn port dịch vụ bên ngoài người dùng sẽ gõ vào (Ví dụ: TCP 8080).
     • Translated destination (DNAT): Chọn IP Private của Web Server (192.168.1.100).
     • Translated service (PAT): Chọn port thực tế của Web Server (HTTP hoặc TCP 80).
   • Interface criteria:
     • Inbound interface: Chọn cổng WAN.
3. Nhấn Save.

B. Static NAT (1:1 NAT chiều vào) - Ánh xạ toàn bộ một IP Public vào một IP Private​

Dùng khi bạn muốn mọi traffic cấu hình đến một IP Public phụ (Alias IP trên WAN) đều được đẩy thẳng vào một Server nội bộ (đầy đủ các port).

• Mục đích: Ánh xạ 1:1 toàn bộ lưu lượng từ IP WAN vào thẳng Web Server (Mở tất cả Service/Port).

1. Add NAT rule.
2. Cấu hình:
   • Name: Static_DNAT_1to1
   • Source criteria:
     • Original source: Any
   • Destination criteria:
     • Original destination: Chọn IP Public phụ của bạn (IP này phải được add Alias trên cổng WAN trước đó).
     • Original service: Any
     • Translated destination (DNAT): Chọn IP Private của Server nội bộ.
     • Translated service (PAT): Chọn Original (Giữ nguyên port, không thay đổi).
   • Interface criteria:
     • Inbound interface: Chọn cổng WAN.
3. Nhấn Save.

Lưu ý quan trọng cho DNAT: Khác với SNAT, khi làm DNAT trên Sophos, bạn bắt buộc phải tạo một Firewall Rule đi kèm để cho phép traffic từ ngoài vào:

• Source Zone: WAN | Source Network: Any
• Destination Zone: LAN (hoặc DMZ nơi đặt Server) | Destination Network: Chọn IP Private của Server (Chứ không phải IP Public).
• Service: Chọn đúng Port thực tế của Server (Port sau khi đã dịch).

PHẦN 4: 2 LƯU Ý VỀ THỨ TỰ LUẬT (RULE ORDER)​

Sau khi tạo đủ 4 luật, bảng NAT rules của anh em sẽ hiển thị hoàn chỉnh như hình bên dưới:

Mẹo nhỏ khi làm Lab hoặc triển khai:​

• Thứ tự Rule (Rule Order): Đặt các rule Static NAT (chi tiết) lên trên các rule PAT/Masquerading (chung chung) để tránh bị ghi đè.
• Nếu muốn tạo cả SNAT và DNAT 1:1 cho cùng một Server nhanh nhất, lúc tạo DNAT bạn tích vào ô Create reflexive rule ở phía dưới cùng, Sophos sẽ tự động tạo một rule SNAT chiều ngược ra tương ứng cho bạn.

1. Nguyên tắc "Top to Bottom" (Từ trên xuống dưới)​

• Tường lửa Sophos đọc bảng NAT theo thứ tự từ trên xuống. Luật nào khớp điều kiện trước sẽ được thực thi ngay và bỏ qua các luật bên dưới.
• Do đó, luật Static NAT (cụ thể) luôn phải đặt TRÊN luật MASQ / PAT (chung chung). Nếu để luật LAN MASQ lên hàng số 1, toàn bộ traffic đi ra sẽ bị dính MASQ và luật SNAT Static bên dưới sẽ bị vô hiệu hóa.

2. Hiện tượng bị "Bóng râm" (Shadowing) giữa Luật 1 và Luật 2​

• Trong ảnh lab trên, Luật 1 (DNAT_Static_1to1 - Any Service) đang nằm TRÊN Luật 2 (DNAT_PortForwarding - HTTP/HTTPS).
• Khi client từ WAN truy cập vào IP #PortB, tường lửa sẽ khớp ngay ở Luật 1 (vì điều kiện Any Service bao hàm cả HTTP/HTTPS) ➔ Luật 2 bên dưới sẽ không bao giờ được kích hoạt.
• Mẹo thực chiến trong Lab:
  • Khi cần test kiểm tra tính năng Static NAT 1-1: Bật ON Luật 1.
  • Khi cần test bảo mật Port Forwarding: Tắt tạm (OFF) Luật 1 đi để traffic đi xuống khớp đúng vào Luật 2.