Palo Alto II.5 Cấu hình NAT NGFW Palo Alto

- SNAT (cho phép các thiết bị truy cập intetnet từ bên trong bao gồm PAT và Static NAT)
- DNAT (cho phép các thiết bị bên ngoài có thể truy cập nội bộ bao gồm Port Forwarding và Static NAT)

1. Source NAT (SNAT):

• PAT (Dynamic IP and Port): Cho phép các thiết bị bên trong (Inside/DMZ) đi ra Internet bằng cách dùng chung 1 IP public của cổng Interface (ethernet1/1), hệ thống sẽ phân biệt qua các source port khác nhau. (Cái này lúc trước đã làm xong để ping Google). - Nhiều IP nội bộ dùng chung 1 IP Public (đã làm ở chương trước).
• Static IP: Dành cho trường hợp một Server nội bộ cụ thể cần đi ra ngoài Internet bằng một IP Public tĩnh riêng biệt (ánh xạ 1-1 cố định), chứ không bị đổi port hay chung đụng với các máy khác. - Một IP nội bộ được ánh xạ cố định 1-1 với một IP Public riêng biệt khi đi ra ngoài.

1.1 Cấu hình PAT:
Cấu hình để vùng Inside đi ra ngoài Internet với PAT
Trên thanh menu, chọn tab Policies > chọn NAT ở cột bên trái.
Nhấp vào nút Add ở phía dưới màn hình để tạo rule NAT mới:

Tab General (Thông tin chung):
Name: Đặt tên cho rule (Ví dụ: SNAT-PAT-Internet).



Tab Original Packet (Gói tin ban đầu):

• Source Zone: Chọn Zone xuất phát của traffic nội bộ (Ví dụ: chọn Inside ).
• Source Address: Chọn any (hoặc chọn các Address Object cụ thể của dải mạng nội bộ cần cho ra ngoài).
• Destination Zone: Chọn Zone đi ra ngoài (Ví dụ: chọn Outside).
• Destination Address: Chọn any.

Tab Translated Packet (Gói tin sau khi dịch chuyển):

• Source Address Translation: Tích chọn Enable.
• Translation Type: Chọn Dynamic IP and Port.
• Address Type: Chọn Interface Address (cách này tiện lợi nhất vì firewall sẽ tự lấy IP của cổng interface ngoài mà không cần gõ cứng IP).
• Interface: Chọn cổng giao tiếp đi ra Internet (Ví dụ: chọn ethernet1/1).
• Translated Address: (Hệ thống sẽ tự nhận theo Interface Address vừa chọn ở trên).

Nhấp OK để lưu lại rule. Nhấp nút Commit ở góc trên bên phải màn hình để áp dụng cấu hình chính thức xuống thiết bị phần cứng.

1.2 Cấu hình SNAT dạng Static IP:
Mục đích: Cho phép một Server nội bộ (Ví dụ: vùng DMZ 172.16.30.x) luôn luôn đi ra ngoài Internet bằng một IP Public tĩnh riêng biệt (Ví dụ: 10.120.170.215).
Trên giao diện Palo Alto, vào tab Policies > NAT > Nhấp Add.
Tab General:

• Name: Đặt tên rule (Ví dụ: SNAT-Static-Server).

Tab Original Packet:

• Source Zone: Chọn DMZ
• Source Address: Chọn Object của Server nội bộ (hoặc điền IP của máy winserver vào)
• Destination Zone: Chọn Outside.
• Destination Address: any.

Tab Translated Packet:
Phần Source Address Translation (Bên trái):

• Translation Type: Chọn Static IP.
• Translated Address: Chọn hoặc nhập IP Public tĩnh dành riêng cho Web server đi ra ngoài (Ví dụ: 10.120.170.215).
• Bi-directional: Có thể tích chọn nếu muốn cho phép chiều ngược lại từ ngoài vào (tùy nhu cầu, nhưng để SNAT đơn thuần đi ra thì có thể bỏ trống hoặc tích chọn nếu kết hợp làm DNAT 1-1).

Phần Destination Address Translation (Bên phải):

• Không cấu hình gì cả (vì đây là SNAT chỉ dịch IP nguồn, phần Destination giữ nguyên). Đảm bảo ô này để trống hoặc disable.

Nhấp OK để lưu lại.

2. Destination NAT (DNAT)
2.1 Cấu hình DNAT - Dạng Port Forwarding :
Mục đích: Cho phép người dùng từ Internet truy cập vào dịch vụ Web (Cổng 80) của Server nội bộ (172.16.30.6) thông qua IP của cổng Outside trên Firewall tại cổng 8080. - Bạn có thể thêm Linux vào hệ thống để truy dùng máy ngoài truy cập vào trong mạng thì sẽ ra web từ Linux, do Linux dễ cấu hình web hơn

Vào Policies > NAT > Nhấp Add.
Tab General:

• Name: Đặt tên rule (Ví dụ: DNAT-Port-Forwarding-Web).

Tab Original Packet:

• Source Zone: Chọn Outside.
• Source Address: any.
• Destination Zone: Chọn Outside.
• Destination Address: Chọn IP của cổng Outside Firewall (10.120.170.213).
• Service: vì chỉ vào web port 80 nên để service-http

Tab Translated Packet:

• Source Address Translation: Disable (giữ nguyên).
• Destination Address Translation:
  • Translated Address: Nhập IP của Server bên trong - IP của Linux chạy web
  • Translated Port: Nhập port thực tế mà server đang lắng nghe bên trong (Ví dụ: 80).

Nhấp OK.
(Lưu ý: Đừng quên viết thêm một Security Policy ở tab Policies > Security cho phép chiều từ Outside vào Inside đến con Server đó với port tương ứng thì mới truy cập được nhé).


---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------


2.2 Cấu hình DNAT - Dạng Static NAT :
Mục đích: Ánh xạ 1-1 toàn bộ mọi kết nối từ một IP Public bên ngoài vào thẳng một Server nội bộ mà không dịch chuyển port.
Vào Policies > NAT > Nhấp Add.
Tab General:

• Name: Đặt tên rule (Ví dụ: DNAT-Static-Server).

Tab Original Packet:

• Source Zone: Chọn Outside.
• Source Address: any.
• Destination Zone: Chọn Outside.
• Destination Address: Chọn IP Public riêng biệt dành cho Server

Tab Translated Packet:

• Destination Address Translation:
  • Translated Address: Nhập IP Private của Server nội bộ
  • Translated Port: Để trống (vì là static 1-1 toàn bộ các port).