Check Point NGFW Cấu hình NAT trên NGFW

Cấu hình NAT trên NGFW:
- SNAT (cho phép các thiết bị truy cập intetnet từ bên trong bao gồm PAT và Static NAT)
- DNAT (cho phép các thiết bị bên ngoài có thể truy cập nội bộ bao gồm Port Forwarding và Static NAT)


Trước tiên cần cấu hình Internet để test

• SNAT-PAT

PAT (Port Address Translation) là kỹ thuật NAT cho phép nhiều IP nội bộ dùng chung một IP Public. PAT phân biệt các kết nối bằng số port khác nhau. Thường dùng để cho nhiều thiết bị trong LAN truy cập Internet qua một IP Public duy nhất.
Đầu tiên ta vào SmartConsole để tạo Policy cho phép dãy mạng LAN ra internet, Source là dãy mạng 172.16.2.0, Destination là Any, và Action là Accept

Tiếp theo chuyển sang tab NAT để cấu hình SNAT-PAT, ở đây sẽ dùng Automatic NAT bằng cách chọn vào máy tại LAN rồi chuyển sang NAT, Translation method chọn Hide,tích vào Hide Behind the gateway, CP sẽ tự động tạo rule NAT

Sau đó Publish và Install Policy để lưu và áp dụng
Test bằng cách lấy máy từ LAN ping đến Internet

Tại giao diện CLI của CP dùng lệnh tcpdump -ni eth1 icmp để xem PAT

• SNAT-Static

Tức là một máy nội bộ luôn sử dụng một IP public cố định. Cũng làm giống như phần SNAT-PAT, thay đổi ở chỗ Translation Method sẽ chuyển sang Static và nhập địa chỉ IPv4 Translate

Sử dụng Automatic NAT và CP sẽ tự động tạo Rule NAT

Sau đó Publish và Install Policy để lưu và áp dụng, sau đó tiến hành test thì ta thấy máy nội bộ ping đến internet đã chuyển thành IP mà ta đã setup translate 203.0.113.

• DNAT - Port Forwading

DNAT Port Forwarding là kỹ thuật chuyển hướng lưu lượng mạng bằng cách đổi địa chỉ IP và Port đích của gói tin từ bên ngoài (Public) thành IP và Port của máy chủ nội bộ (Private). Kỹ thuật này cho phép các thiết bị trên Internet truy cập vào một dịch vụ cụ thể (như Web, SSH) nằm trong mạng nội bộ đằng sau Firewall/Router.

Tạo Rule NAT như ảnh bên dưới


Tiếp theo sẽ tạo Policy


Sau đó kiểm tra trên máy win 192.168.10.100

• DNAT Static

DNAT Static là kỹ thuật ánh xạ cố định 1-1 giữa một địa chỉ IP Public công cộng và một địa chỉ IP Private trong mạng nội bộ.
Ta sẽ tạo Object

Sau đó sẽ chuyển sang phần NAT, tích vào Add automation address translation rules, đổi Translation method sang Static và nhập IPv4, sau đó nhấn OK CP sẽ tự động tạo rule


Tiếp theo cần tạo Policy để cho phép lưu lượng đi qua



Test