Chào anh em! Ở các bài trước chúng ta đã tìm hiểu về Object và Security Policy. Hôm nay mình xin tiếp tục chia sẻ chi tiết về NAT (Network Address Translation) trên Sophos Firewall (SFOS v18/v19+).
Từ dòng SFOS v18 trở đi, Sophos áp dụng cơ chế Decoupled NAT (tách rời bảng NAT độc lập khỏi Firewall Rule). Để làm chủ hoàn toàn bảng NAT, anh em cần nắm vững bản chất và cấu hình chuẩn 4 loại NAT cốt lõi: SNAT (PAT & Static NAT) và DNAT (Port Forwarding & Static NAT).
Từ dòng SFOS v18 trở đi, Sophos áp dụng cơ chế Decoupled NAT (tách rời bảng NAT độc lập khỏi Firewall Rule). Để làm chủ hoàn toàn bảng NAT, anh em cần nắm vững bản chất và cấu hình chuẩn 4 loại NAT cốt lõi: SNAT (PAT & Static NAT) và DNAT (Port Forwarding & Static NAT).
MỤC LỤC
- Phần 1: Sơ đồ mạng & Quy hoạch IP (Lab Topology)
- Phần 2: Bản chất kỹ thuật & Khi nào sử dụng 4 kiểu NAT?
- Phần 3: Hướng dẫn cấu hình chi tiết 4 Luật NAT
- 3.1. Luật 1: DNAT - Static NAT (1-to-1 Inbound cho Web Server)
- 3.2. Luật 2: DNAT - Port Forwarding (PAT Inbound cho Web Server)
- 3.3. Luật 3: SNAT - Static NAT (1-to-1 Outbound cho Web Server)
- 3.4. Luật 4: SNAT - PAT (Masquerading cho mạng LAN ra Internet)
- Phần 4: 2 Lưu ý về Thứ tự Luật (Rule Order)
PHẦN 1: SƠ ĐỒ MẠNG & QUY HOẠCH IP (LAB TOPOLOGY)
Trong bài Lab này, thiết bị Sophos NGFW được quy hoạch theo các vùng (Zone) và cổng giao tiếp sau:| Cổng Interface | Zone | Địa chỉ IP / Subnet | Vai trò trong mô hình |
PortB (WAN) | WAN | 10.0.137.206 / 24 | Cổng hướng ra ngoài Internet (IP Public/WAN của Firewall) |
PortE (DMZ) | DMZ | 192.168.30.1 / 24 | Gateway quản lý vùng máy chủ DMZ |
Web Server | DMZ | 192.168.30.10 / 24 | Máy chủ Web Server nội bộ đặt tại DMZ |
LAG1 (LAN) | LAN | 192.168.10.1 / 24 | Cổng mạng nội bộ cho nhân viên (Net_LAN_Users) |
PHẦN 2: BẢN CHẤT KỸ THUẬT & KHI NÀO SỬ DỤNG 4 KIỂU NAT?
Rất nhiều anh em mới học thường lúng túng không biết khi nào nên dùng PAT, khi nào nên dùng Static NAT. Dưới đây là bảng tổng hợp bản chất và tình huống ứng dụng thực chiến:| Nhóm NAT | Kiểu NAT | Bản chất hoạt động | Khi nào sử dụng trong thực tế? |
| SNAT (Outbound) | 1. PAT (MASQ) (Many-to-One) | Hàng trăm IP Private khi đi ra WAN được dùng chung 1 IP Public, tường lửa tự động đổi số Port ngẫu nhiên để phân biệt các phiên. | Dùng cho toàn bộ nhân viên mạng LAN/WiFi lướt web, làm việc ra Internet để tiết kiệm địa chỉ IP WAN. |
| SNAT (Outbound) | 2. Static NAT (One-to-One) | Ánh xạ cố định 1 IP Private ➔ 1 IP Public, tuyệt đối không đổi Port của gói tin. | Dùng cho Máy chủ Server (Mail, Web, ERP) khi chủ động giao tiếp ra bên ngoài Internet để IP định danh không bị trôi/biến đổi. |
| DNAT (Inbound) | 3. Port Forwarding (PAT) | Chỉ ánh xạ một vài Port cụ thể (như 80, 443) từ IP WAN vào IP Server nội bộ. Các Port khác bị đóng hoàn toàn. | Dùng để Publish một dịch vụ cụ thể (Web, RDP, App Server) ra Internet mà vẫn bảo đảm tính an toàn tối đa cho máy chủ. |
| DNAT (Inbound) | 4. Static NAT (One-to-One) | Ánh xạ toàn bộ 1 IP Public ➔ 1 IP Private (mở tất cả các Port / Service 1-to-1). | Dùng cho DMZ Host / Server đa dịch vụ cần mở đồng thời rất nhiều Port từ Internet vào (hoặc khi doanh nghiệp có dải IP WAN riêng cho từng Server). |
PHẦN 3: HƯỚNG DẪN CẤU HÌNH CHI TIẾT 4 LUẬT NAT
Đường dẫn: Vào Rules and policies > NAT rules > Add NAT rule > New NAT rule.
3.1. Luật 1: DNAT - Static NAT (1-to-1 Inbound cho Web Server)
- Mục đích: Ánh xạ 1:1 toàn bộ lưu lượng từ IP WAN #PortB vào thẳng Web Server 192.168.30.10 (Mở tất cả Service/Port).
- Các thông số cấu hình:
- Rule name: DNAT_Static_1to1_WinServer
- Original source: Any | Original destination: #PortB (10.0.137.206)
- Original service: Any (Điểm mấu chốt của Static 1-1 Inbound)
- Translated source (SNAT): Original
- Translated destination (DNAT): Host_WinServer_DMZ (192.168.30.10)
- Translated service (PAT): Original
- Inbound interface: PortB
3.2. Luật 2: DNAT - Port Forwarding (PAT Inbound cho Web Server)
- Mục đích: Chỉ mở cổng HTTP (80) và HTTPS (443) từ bên ngoài Internet vào Web Server DMZ, chống quét cổng dịch vụ trái phép.
- Các thông số cấu hình:
- Rule name: DNAT_PortForwarding_WebServer
- Original source: Any | Original destination: #PortB (10.0.137.206)
- Original service: HTTP, HTTPS (Chỉ mở đúng 2 Port cần thiết)
- Translated source (SNAT): Original
- Translated destination (DNAT): Host_WinServer_DMZ (192.168.30.10)
- Translated service (PAT): Original
- Inbound interface: PortB
3.3. Luật 3: SNAT - Static NAT (1-to-1 Outbound cho Web Server)
- Mục đích: Cố định IP Public đầu ra cho Web Server khi gửi dữ liệu ra Internet (giữ nguyên 100% Port nguồn gốc).
- Các thông số cấu hình:
- Rule name: SNAT_Static_WinServer_Outbound
- Original source: Host_WinServer_DMZ (192.168.30.10)
- Original destination: Any | Original service: Any
- Translated source (SNAT): IP_WAN_WinServer (10.0.137.206) (Hoặc #PortB)
- Translated destination (DNAT): Original
- Translated service (PAT): Original (Bắt buộc là Original để giữ nguyên Port)
- Outbound interface: PortB
3.4. Luật 4: SNAT - PAT (Masquerading cho mạng LAN ra Internet)
- Mục đích: Cho phép người dùng mạng nội bộ LAN chia sẻ 1 IP WAN để ra Internet làm việc.
- Các thông số cấu hình:
- Rule name: SNAT_PAT_LAN_To_Internet
- Original source: Net_LAN_Users (192.168.10.0/24)
- Original destination: Any | Original service: Any
- Translated source (SNAT): MASQ (Tự động chia sẻ IP WAN và dịch chuyển Port)
- Translated destination (DNAT): Original
- Translated service (PAT): Original
- Outbound interface: PortB (Chú ý: Bắt buộc chọn đúng PortB/WAN để MASQ hoạt động khi ra Internet)
PHẦN 4: 2 LƯU Ý VỀ THỨ TỰ LUẬT (RULE ORDER)
Sau khi tạo đủ 4 luật, bảng NAT rules của anh em sẽ hiển thị hoàn chỉnh như hình bên dưới:
1. Nguyên tắc "Top to Bottom" (Từ trên xuống dưới)
- Tường lửa Sophos đọc bảng NAT theo thứ tự từ trên xuống. Luật nào khớp điều kiện trước sẽ được thực thi ngay và bỏ qua các luật bên dưới.
- Do đó, luật Static NAT (cụ thể) luôn phải đặt TRÊN luật MASQ / PAT (chung chung). Nếu để luật LAN MASQ lên hàng số 1, toàn bộ traffic đi ra sẽ bị dính MASQ và luật SNAT Static bên dưới sẽ bị vô hiệu hóa.
2. Hiện tượng bị "Bóng râm" (Shadowing) giữa Luật 1 và Luật 2
- Trong ảnh lab trên, Luật 1 (DNAT_Static_1to1 - Any Service) đang nằm TRÊN Luật 2 (DNAT_PortForwarding - HTTP/HTTPS).
- Khi client từ WAN truy cập vào IP #PortB, tường lửa sẽ khớp ngay ở Luật 1 (vì điều kiện Any Service bao hàm cả HTTP/HTTPS) ➔ Luật 2 bên dưới sẽ không bao giờ được kích hoạt.
- Mẹo thực chiến trong Lab:
- Khi cần test kiểm tra tính năng Static NAT 1-1: Bật ON Luật 1.
- Khi cần test bảo mật Port Forwarding: Tắt tạm (OFF) Luật 1 đi để traffic đi xuống khớp đúng vào Luật 2.
Bài viết liên quan
Được quan tâm
Bài viết mới